如何清理Windows上的UserAssist?

智能的做法并不是清除每一个条目,而是让清理内容与您真正想要清除的对象相匹配。在PrivaZer的软件使用选项中的Userassist下,您可以选择两种方式:

• Userassist(无效快捷方式),这是较为均衡的默认选项。它只删除指向您电脑上已不复存在的程序、快捷方式或文件的条目,而保留您仍在使用的软件的启动历史记录,以及其对开始菜单“最常用”排名的贡献。
• Userassist(全部删除),彻底重置。它会清除整个GUI启动历史记录,包括当前已安装的软件。此后您继续使用电脑时,Windows会开始重新构建该记录,您开始菜单的“最常用”列表也会重置,直到您重新启动相应程序。

简而言之:无效快捷方式会清除最重要的取证痕迹(已不在这台电脑上的软件的证据),而不打扰您当前的使用设置;而全部删除则是彻底清除。这就是上面所展示的选择。

UserAssist是一个Windows注册表痕迹,记录通过图形界面(开始菜单、桌面、任务栏、资源管理器)启动的程序,但不记录从命令行或脚本启动的程序。它位于 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist.

对于每个程序,它可以保留运行次数、最后一次启动的日期和时间,在Windows Vista及更高版本上,还包括其窗口保持聚焦的时长和次数。这是一份精确的、带时间戳的记录,记录了您实际打开过什么以及打开的频率,是Windows保留的最能清楚证明实际动手使用情况的记录之一。清理它会清除这一痕迹。

UserAssist没有像shellbags视图设置那样的外观性质部分,每个字段都是关于您打开了什么以及如何打开的记录。程序名称上的ROT13移位只是混淆,而非保护,逆向破解非常简单,这也正是取证工具最先解码的内容。PrivaZer会删除这些条目,使这一使用痕迹不再留存于注册表中。

会。PrivaZer会在扫描过程中检测并清除UserAssist条目,也可以使用上文所述的无效快捷方式或全部删除选项单独针对它们进行清理。

与Amcache.hve或Shimcache不同,UserAssist完全位于您的用户配置单元(HKEY_CURRENT_USER)下,而不是一个被锁定的全机器配置单元,也不是关机时才刷新的缓存。PrivaZer只需删除匹配的注册表值即可生效,无需重启或刷新缓存,也无需管理员权限,因为这是您自己的用户配置单元。

会,这正是无效快捷方式旨在清除的对象。卸载程序不会删除其UserAssist历史记录。即使该程序本身的所有痕迹都已消失,其运行次数、最后使用日期和聚焦时间依然可能保留下来,证明该程序曾被使用过以及使用的频率。调查人员可以将其解读为在一台已不存在该软件的电脑上曾习惯性使用它的证据。

安全。UserAssist是Windows为自身使用而维护、并会自动重建的一个缓存,它不会影响您已安装的程序、文件或系统稳定性。

唯一可见的副作用与全部删除有关:Windows会部分利用UserAssist计数来决定哪些应用程序显示为开始菜单中的“最常用”项,因此清除全部内容会重置该排名,直到您重新启动常用程序。使用无效快捷方式时,您仍在使用的软件的条目会被保留,因此该排名不会受到影响。

您继续从开始菜单或资源管理器启动程序时,会出现新的条目,这是正常现象,UserAssist是一份持续记录GUI活动的日志。清理只是删除了此前的历史痕迹。定期运行PrivaZer可以让这份记录保持简短。

这三者都能证明某软件曾存在或运行过,但它们捕捉的内容不同。UserAssist专门针对通过图形界面启动的程序,它是这三者中唯一具有运行次数和聚焦时间的,能衡量实际使用情况,而不仅仅是存在与否。Amcache是一个包含丰富的每个程序元数据(包括SHA-1哈希值)的配置单元文件,无论程序是如何启动的。Shimcache主要记录Windows已处理文件的路径和最后修改日期。只清理其中一项,其余两项仍会保留。

关于其他两项,请参见: 如何清理Windows上的Amcache 和 如何清理Windows上的Shimcache.