UserAssist, RecentDocs og MRU‑lister: brugerens seneste handlinger

Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen

Brugerens del af registreringsdatabasen, NTUSER.DAT, indeholder en række lister over seneste handlinger: programmer startet fra Stifinder og startmenuen (UserAssist), seneste filer pr. filtype (RecentDocs), filer åbnet og gemt via programmernes dialogbokse, kommandoer i Kør-dialogen, stier tastet i Stifinder og søgninger. De er knyttet til én konto og ofte til en rækkefølge. Men kun nogle af dem har tidsstempler pr. post, og de fleste viser kun den seneste handling præcist. Fortolkningen står og falder med at kende forskellen.

Filbaserede aktivitetsspor som LNK-filer, jump lists og shellbags er beskrevet i Windows-artefakter. Denne artikel handler om de registerbaserede lister, og hvordan de supplerer.

UserAssist

UserAssist registrerer programmer, som brugeren har startet via den grafiske brugerflade: startmenuen, skrivebordet, proceslinjen eller et dobbeltklik i Stifinder. For hvert program gemmes typisk:

antal kørsler,
antal gange og samlet tid, programmet har haft fokus,
tidspunkt for seneste kørsel i UTC.

Værdinavnene er kodet med en simpel bogstavforskydning (ROT13), som forensiske værktøjer afkoder automatisk. Programmer startet fra kommandolinjen, af andre programmer eller af planlagte opgaver registreres ikke her. UserAssist er derfor et godt spor efter, at en bruger aktivt har startet et program, men fravær betyder ikke, at programmet ikke kørte. Sammenhold med Prefetch, der er systembred og ikke angiver bruger; se Prefetch, Amcache og Shimcache.

Fokustiden kan vise, om et program blot blev åbnet og lukket, eller om det blev brugt aktivt over længere tid. Sporene efter, at en bestemt fil blev åbnet, er samlet på tværs af kilder i Blev filen åbnet?. Formatet er ikke officielt dokumenteret af Microsoft, og tællere og fokustid opfører sig forskelligt mellem Windows-versioner og fortolkes forskelligt af værktøjerne. Tallene bør derfor bruges med forsigtighed og helst afprøves på et tilsvarende system.

RecentDocs

RecentDocs er den liste, Windows bruger til at vise seneste elementer. Nøglen har en hovedliste og en undernøgle pr. filendelse. Hver værdi indeholder filnavnet og navnet på den tilhørende LNK-fil. En særlig værdi, MRUListEx, angiver rækkefølgen fra senest til ældst.

Værdierne har ingen egne tidsstempler. Det eneste tidsstempel er nøglens LastWrite, som svarer til den seneste ændring, dvs. typisk tidspunktet, hvor det øverste element i listen blev tilføjet. For de øvrige elementer kendes kun rækkefølgen. Tidspunkter for dem må findes i andre kilder, fx LNK-filen med samme navn.

RecentDocs kan bevare filnavne, efter at LNK-filen er slettet, eller efter at listen i Stifinder er ryddet, hvis rydningen ikke rammer registreringsdatabasen. Omvendt kan en politik eller en privatlivsindstilling forhindre, at listen opdateres overhovedet.

Dialogboksenes MRU-lister

Når et program bruger Windows’ fælles dialogbokse til at åbne eller gemme filer, registreres det i to lister:

OpenSavePidlMRU: filer, der er åbnet eller gemt via dialogen, ordnet pr. filendelse.
LastVisitedPidlMRU: det program, der brugte dialogen, og den mappe, det senest var i.

Kombinationen kan vise, at et bestemt program, fx en browser, åbnede en fil fra en bestemt mappe via en dialogboks. Det er relevant ved upload til webtjenester, hvor browserens filvælger bruges. Som ved RecentDocs er det kun det seneste element i hver liste, der kan dateres præcist via LastWrite.

Andre lister

RunMRU: kommandoer tastet i Kør-dialogen, med rækkefølge.
TypedPaths: stier tastet direkte i Stifinders adresselinje, fx netværksstier.
WordWheelQuery: søgninger foretaget i Stifinder.
Office-programmernes egne lister over seneste filer. De ligger i brugerens NTUSER.DAT under Office-versionens nøgle, ofte opdelt pr. tilknyttet konto, og i nyere versioner har hver post typisk et tidsstempel. Strukturen er ikke officielt dokumenteret og bør aflæses på den aktuelle installation.

Søgninger og tastede stier kan være særligt sigende, fordi de viser, hvad brugeren ledte efter, ikke kun hvad der blev åbnet. Søgeindekset selv er en særskilt kilde; se Windows Search-indekset.

BAM

Background Activity Moderator (BAM) er en Windows-komponent, der i SYSTEM-hiven gemmer programstier pr. bruger-SID med et tidspunkt for seneste kørsel. Den fanger også programmer, der ikke er startet via Stifinder, og er derfor et vigtigt supplement til UserAssist. Komponenten findes ikke i alle Windows-versioner, er ikke officielt dokumenteret, og nøglens placering har skiftet mellem versioner. Indholdet ryddes løbende for gamle poster, så den dækker typisk kun en kortere periode.

Sammenligning

UserAssist · Tidsstempel: Pr. post · Viser: Program startet via brugerfladen
RecentDocs · Tidsstempel: Kun nøglens LastWrite · Viser: Filer åbnet, rækkefølge pr. filtype
OpenSavePidlMRU · Tidsstempel: Kun nøglens LastWrite · Viser: Filer åbnet eller gemt via dialog
LastVisitedPidlMRU · Tidsstempel: Kun nøglens LastWrite · Viser: Program og mappe brugt i dialog
RunMRU, TypedPaths, WordWheelQuery · Tidsstempel: Kun nøglens LastWrite · Viser: Kommandoer, stier og søgninger
BAM · Tidsstempel: Pr. post · Viser: Seneste kørsel pr. bruger

Sådan bruges listerne sammen

Listerne giver mest, når de kombineres med de filbaserede spor. Et typisk forløb kan undersøges sådan:

Find de relevante filnavne i RecentDocs og i dialogboksenes lister, og notér rækkefølgen.
Find LNK-filer og jump lists med samme navne. De har egne tidsstempler og kan datere de elementer, som registreringsdatabasen kun ordner.
Kontrollér i LastVisitedPidlMRU, hvilket program der brugte dialogboksen, og i hvilken mappe.
Sammenhold med UserAssist og BAM for at se, hvornår det pågældende program senest blev startet af kontoen.
Tjek søgninger og tastede stier for tegn på, at brugeren ledte efter bestemte mapper eller filer.

Resultatet er en rækkefølge af handlinger, hvor nogle er præcist dateret, og andre er placeret mellem to kendte tidspunkter.

Historik fra skyggekopier

Fordi listerne kun viser den aktuelle tilstand, kan ældre versioner af NTUSER.DAT i skyggekopier eller backup give et tidsforløb. Et element, der står øverst i én version og længere nede i den næste, kan dateres til perioden mellem de to. Sammenligningen kan også vise, at en liste er ryddet mellem to tidspunkter.

Fejlkilder

Rækkefølge læses som tid. Kun det øverste element har et præcist tidspunkt. Resten kan ligge timer, dage eller måneder før.
LastWrite tilskrives forkert element. LastWrite hører til nøglen, ikke til en bestemt værdi.
Fravær tolkes som uskyld. Listerne kan være slået fra, ryddet eller begrænset i længde. Rydning kan i sig selv være et spor; se Anti-forensics.
Versionsforskelle. Nøgler og formater har ændret sig mellem Windows-versioner, og værktøjer halter bagefter.
Afkodning. Binære værdier skal afkodes korrekt. Kontrollér afgørende poster med et andet værktøj.

Sikring

Listerne ligger i NTUSER.DAT og, for BAM, i SYSTEM-hiven. De skal udtrækkes fra en forensisk kopi med transaktionslogs, så de seneste ændringer kommer med. At logge på brugerens konto for at “se efter” ændrer netop disse lister. Fremgangsmåden er beskrevet i Registreringsdatabasen i en undersøgelse.

Hvad listerne kan og ikke kan bevise

De registerbaserede lister kan vise, at en bestemt konto har startet programmer, åbnet filer, søgt eller tastet bestemte stier, og ofte i hvilken rækkefølge. De kan ikke alene vise, hvem der brugte kontoen. Spørgsmålet om attribution er behandlet i Attribution af brugerhandlinger, og listerne får deres fulde værdi i en samlet tidslinje.

Dokumentation

Angiv for hver liste: hive og nøglesti, LastWrite-tid, værdiernes rå indhold og afkodning, rækkefølge, værktøj og version. Skriv eksplicit, hvilke elementer der har et selvstændigt tidsstempel, og hvilke der kun er placeret i en rækkefølge. Er et element dateret ved hjælp af en anden kilde, fx en LNK-fil eller en skyggekopi, angives den kilde ved siden af. Beskriv også, hvilke lister der var tomme eller slået fra, så læseren kan vurdere, hvad fraværet af et element faktisk siger.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Windows-forensik

Læs også: Papirkurven i Windows: $Recycle.Bin og hvad den afslører · RDP-spor: fjernskrivebord i logs, register og bitmap-cache

→ Forensisk undersøgelse af en computer · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik