Artefactos de ejecución y de uso reciente

Prefetch es un archivo que Windows crea por cada ejecutable que se corre, para acelerar su arranque. Registra cuántas veces corrió y las últimas horas de ejecución (en Windows 10 hasta ocho, más la creación del archivo, que se acerca a la primera vez). UserAssist vive en el perfil del usuario y cuenta lo que se abrió desde el Explorador: no recoge lo lanzado desde la línea de comandos ni por una tarea. AppCompatCache (Shimcache) anota los ejecutables que el sistema vio; en Windows 10 y posteriores, según la documentación del artefacto en Velociraptor, una bandera indica si hubo ejecución.

Ninguno de los tres lo prueba todo. Cada uno responde una pregunta distinta y se cruza con los otros.

El orden de los hechos se arma con las horas. Un instalador que se abre desde Descargas deja rastro de usuario, de ejecución y de presencia. Con las horas de cada artefacto se reconstruye la secuencia.

Abre la consola. Ejecuta SELECT * FROM userassist WHERE programa LIKE '%Downloads%' y lee la columna ultima del instalador, que el usuario ejecutó una sola vez.

La bandera de ejecución de AppCompatCache separa lo que el sistema vio de lo que se ejecutó. Un archivo puede estar en la caché solo porque alguien lo abrió en una carpeta o lo examinó. Con la bandera en 0 no hay indicio de ejecución, y confundirlo con la bandera en 1 produce afirmaciones falsas en el informe.

Ejecuta SELECT * FROM appcompatcache WHERE ejecutado = '0'.

Con las horas de tres artefactos se arma una secuencia. El instalador corrió a una hora (UserAssist, Prefetch) y el programa que dejó corrió por primera vez después (Prefetch, columna creado). El intervalo entre los dos habla de si el programa arrancó solo o lo lanzó alguien después.

Ejecuta SELECT * FROM prefetch y compara la hora de ejecución del instalador con la de creación del archivo de prefetch del programa sincronizador. Calcula la diferencia en minutos.

La tabla de Prefetch dice que el programa corrió 134 veces entre el viernes y el lunes; el UserAssist no lo muestra, y el AppCompatCache da la bandera en 1. Cada dato sostiene una afirmación y no otra: Prefetch sostiene «corrió, tantas veces, en estas horas»; UserAssist, «lo abrió una persona desde el Explorador»; AppCompatCache, «el sistema lo vio y hay indicio de ejecución».

Ninguno dice quién lo lanzó ni qué hizo el programa al correr. Eso es una inferencia que se marca como tal.