1. Introducción y alcance

El propósito del presente documento es brindar a peritos forenses una guía técnica estructurada para identificar software que ha sido instalado y desinstalado en sistemas Windows, con particular foco en:

• reconstruir el historial de instalación y desinstalación;
• localizar evidencia de programas que ya no están presentes en disco;
• detectar indicios de desinstalación de último momento o "limpieza" destinada a frustrar el análisis forense o la persecución judicial.

La guía se enfoca en versiones modernas de Windows (10 y 11), pero muchos de los artefactos descritos también existen en versiones anteriores (Windows 7 y 8). El enfoque combina:

• herramientas nativas del sistema (Configuración, Panel de Control, Visor de eventos, Registro de Windows);
• artefactos forenses bien documentados en la literatura especializada (claves Uninstall del registro, Prefetch, AmCache, ShimCache, logs de eventos MsiInstaller).

A lo largo del texto se indican lugares sugeridos para incluir capturas de pantalla, útiles tanto en informes como en material de capacitación. Las rutas y procedimientos que se describen están basados en documentación oficial de Microsoft y en artículos técnicos de referencia publicados por la comunidad forense digital.

2. Panorama general de artefactos relevantes en Windows

En un sistema Windows típico, la existencia e instalación de software dejan rastro en múltiples niveles:

1. Interfaz gráfica y utilidades del sistema: listas de programas en Configuración > Aplicaciones y en Panel de Control > Programas y características.
2. Registro de Windows: claves bajo los hives SOFTWARE y NTUSER.DAT que documentan aplicaciones instaladas, rutas, versiones y, en muchos casos, fechas de instalación.
3. Registros de eventos (Event Logs): eventos generados por el servicio Windows Installer (MSI) que registran instalaciones, actualizaciones y desinstalaciones.
4. Artefactos de ejecución: archivos Prefetch, hives AmCache y cachés de compatibilidad (ShimCache), que preservan evidencia de programas ejecutados aun cuando ya no estén presentes en disco.
5. Otros artefactos de sistema de archivos: entradas en la MFT, el diario USN, accesos directos (LNK), espacio no asignado (unallocated), etc., que exceden el foco principal de este documento, pero pueden complementar el análisis.

El resto del documento explica cómo utilizar cada uno de estos artefactos y cómo correlacionarlos para responder tres preguntas clave:

• ¿Qué software estuvo instalado en el sistema?
• ¿Cuándo se instaló y, en la medida de lo posible, cuándo se desinstaló?
• ¿Existen indicios de que el software fue eliminado o desinstalado de forma apresurada para evitar su descubrimiento?

3. Identificación de software desde la interfaz gráfica

Aunque el análisis forense debe fundarse en última instancia en artefactos de bajo nivel, la interfaz gráfica de Windows sigue siendo un punto de partida útil para obtener una vista rápida del software actualmente instalado.

3.1. Configuración - Aplicaciones (Windows 10/11)

Ruta típica:

1. Abrir el menú Inicio y hacer clic en el ícono Configuración (engranaje).
2. Seleccionar Aplicaciones.
3. En Windows 11, elegir Aplicaciones instaladas; en Windows 10, Aplicaciones y características.

La lista muestra programas y aplicaciones con información sobre el editor y, en algunos casos, la fecha de instalación que reporta el instalador.

[Figura sugerida: Captura de pantalla de Configuración > Aplicaciones mostrando una lista de programas instalados con sus editores]

Nombre	Editor
Google Chrome	Google LLC
Microsoft Edge	Microsoft Corporation
Microsoft OneDrive	Microsoft Corporation
Mozilla Firefox	Mozilla
Notepad	Microsoft Corporation
Paint	Microsoft Corporation
VLC media player	VideoLAN

Esta vista tiene limitaciones importantes: solo enumera software actualmente instalado, no hay historial de desinstalaciones, la fecha de instalación no siempre está presente o es confiable, y muchas herramientas portátiles o ejecutables independientes (sin instalador formal) no aparecen aquí.

3.2. Panel de Control - Programas y características

Aunque menos visible en versiones recientes, el Panel de Control clásico sigue existiendo y ofrece una vista similar:

1. En el cuadro de búsqueda, escribir Panel de Control y abrirlo.
2. Ir a Programas > Programas y características.

La lista resultante contiene programas instalados mediante distintos tipos de instaladores. Para cada entrada, puede mostrarse: nombre del producto, editor, fecha de instalación, versión y tamaño aproximado.

[Figura sugerida: Captura del Panel de Control > Programas y características con columnas de Nombre, Editor, Instalado el]

Nombre	Editor	Instalado el
Skype (sistema de Microsoft Windows)	Skype	23/04/2024
VLC media player	VideoLAN	09/04/2024
Mozilla Firefox	Mozilla	09/04/2024
Google Chrome	Google LLC	09/04/2024
Adobe Acrobat DC (64-bit)	Adobe Inc.	31/03/2024
Microsoft Edge	Microsoft Corporation	16/03/2024
Microsoft OneDrive	Microsoft Corporation	21/02/2024
Dropbox	Dropbox Technologies LLI	05/01/2024
Microsoft Word (microsoft office)	Microsoft Corporation	05/01/2024
Microsoft Excel (microsoft office)	Microsoft Corporation	26/12/2023

Nuevamente, esto es solo una instantánea del estado actual, no un registro histórico. Para reconstruir el pasado y detectar desinstalaciones, es necesario avanzar hacia artefactos más profundos.

4. Análisis del Registro de Windows

El Registro de Windows es una base de datos jerárquica donde el sistema operativo y las aplicaciones almacenan datos de configuración. Los estudios forenses han demostrado repetidamente que las claves relacionadas con la instalación de software son una fuente de alto valor probatorio.

4.1. Claves de desinstalación (HKLM y HKCU)

Las principales ubicaciones donde Windows y muchas aplicaciones almacenan información sobre software instalado son:

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
• HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall (para muchas aplicaciones de 32 bits en sistemas de 64 bits)
• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall (instalaciones específicas del usuario)

Estos caminos están ampliamente documentados en la literatura técnica y en guías forenses sobre programas instalados.

Procedimiento básico de inspección manual:

1. Ejecutar regedit.exe con privilegios administrativos.
2. Navegar a HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall.
3. Cada subclave representa un producto instalado. Los valores más relevantes típicamente incluyen:
   • DisplayName: nombre del producto;
   • DisplayVersion: versión reportada;
   • Publisher: editor;
   • InstallDate: fecha de instalación (formato AAAAMMDD en muchos casos);
   • UninstallString: comando o ruta utilizada para desinstalar el producto.

[Figura 3] Captura del Editor del Registro mostrando varias subclaves bajo ...\Uninstall y los valores DisplayName, InstallDate y UninstallString en el panel derecho.

Notas importantes para peritos:

• No todas las aplicaciones completan todos los campos; en muchos casos InstallDate está vacío.
• El hecho de que exista una subclave bajo Uninstall es un indicio fuerte de que el programa estuvo instalado, pero no garantiza que siga presente en disco; algunos desinstaladores borran la clave, otros no.

4.2. Tiempos de instalación y desinstalación

Además de los valores visibles, cada subclave del registro tiene un LastWrite time (última fecha de modificación), accesible con herramientas forenses especializadas. Este timestamp puede aportar información adicional:

• cuando la subclave se crea (instalación), el LastWrite suele coincidir aproximadamente con la fecha de instalación;
• si al desinstalar el programa la clave se elimina por completo, el perito puede reconstruir su existencia a partir de otras fuentes (Prefetch, AmCache, eventos, etc.);
• si la desinstalación sólo modifica ciertos valores (por ejemplo, marcando el estado del producto), el LastWrite puede estar próximo a la fecha de desinstalación.

Estudios sobre análisis forense del registro han documentado que, aun después de desinstalar un programa, pueden permanecer valores residuales relacionados con la aplicación en distintas ramas del registro, en especial cuando el desinstalador no limpia de forma exhaustiva. Eso incluye entradas en:

• HKLM\SOFTWARE\...\Uninstall y HKCU\SOFTWARE\...\Uninstall que no se han eliminado;
• claves de configuración específicas del programa bajo HKCU\SOFTWARE\<Fabricante>;
• claves de asociaciones de archivos, extensiones y shell (por ejemplo, bajo HKCR / HKEY_CLASSES_ROOT).

Para informes periciales, es recomendable:

• documentar con capturas de pantalla y exportaciones .reg las subclaves de interés;
• registrar también el LastWrite de dichas subclaves mediante herramientas forenses (no sólo lo que muestra regedit).

De este modo, el registro aporta prueba de existencia y configuración del software, incluso si otras evidencias han sido parcialmente borradas.

5. Historial de instalación y desinstalación en registros de eventos

Los registros de eventos de Windows (Event Logs) constituyen otra fuente clave para reconstruir el historial de instalación y desinstalación, en particular para software que utiliza el servicio Windows Installer (MSI).

5.1. Eventos de MsiInstaller en el Visor de eventos

Windows registra muchas operaciones de instalación y desinstalación en el log Application bajo la fuente MsiInstaller. Documentación técnica y artículos especializados señalan, entre otros, los siguientes IDs de evento relevantes:

• 11707 / 1033: instalación correcta de un producto mediante Windows Installer;
• 11724: desinstalación de un producto.

Guías recientes sobre historial de instalación/remoción en Windows describen cómo localizar estos eventos en el Visor de eventos y utilizarlos como registro cronológico de cambios de software.

Procedimiento básico (GUI):

1. Abrir el menú Inicio y escribir Visor de eventos (Event Viewer).
2. En el panel izquierdo, navegar a Registros de Windows > Aplicación.
3. En el panel derecho, elegir Filtrar registro actual....
4. En el cuadro de diálogo, establecer:
   • en Origen de eventos: marcar MsiInstaller;
   • opcionalmente, en Id. de eventos: escribir 11707, 11724 (u otros IDs de interés).
5. Aplicar el filtro.

[Figura 4] Captura del Visor de eventos mostrando el filtro por origen MsiInstaller y los eventos con ID 11707 (instalación) y 11724 (desinstalación).

Cada evento incluye, en sus detalles:

• la fecha y hora precisas de la operación;
• el nombre del producto;
• la versión;
• el usuario que inició la instalación o desinstalación (cuando está disponible);
• el código de producto (GUID) asociado al paquete MSI.

Es importante enfatizar que no todo el software utiliza Windows Installer: muchos instaladores basados en ejecutables propios (.exe) no generan eventos MsiInstaller. En esos casos, el registro de eventos puede ser parcial o inexistente, y cobran mayor importancia otros artefactos (Prefetch, AmCache, etc.).

5.2. Exportación y correlación temporal

Para un análisis riguroso, conviene exportar los eventos filtrados a un archivo .evtx o .csv y:

• ordenar cronológicamente las operaciones;
• identificar patrones, como múltiples instalaciones y desinstalaciones de un mismo producto;
• correlacionar las marcas temporales con hitos procesales (fecha de allanamiento, creación de la imagen forense, etc.).

Cuando se investiga una posible desinstalación de último momento, el hallazgo de un evento 11724 muy próximo a la fecha y hora del allanamiento o secuestro de los equipos es un indicio relevante a documentar en el informe.

6. Artefactos de ejecución que sobreviven a la desinstalación

La existencia de registros y claves de instalación no agota la evidencia disponible. Windows mantiene varios artefactos destinados originalmente a optimizar rendimiento o compatibilidad que, desde la perspectiva forense, se convierten en pruebas de ejecución histórica, aun cuando el programa ya no esté instalado.

6.1. Prefetch: evidencia de programas ejecutados

Los archivos Prefetch fueron diseñados para acelerar la carga de aplicaciones. Estudios y guías forenses recientes describen su funcionamiento del siguiente modo:

• cuando un ejecutable se ejecuta por primera vez desde una ruta determinada, Windows crea un archivo .pf en C:\Windows\Prefetch;
• el nombre del archivo combina el nombre del ejecutable y un hash de la ruta de ejecución (por ejemplo, APPNAME.EXE-12345678.pf);
• el archivo almacena, entre otros datos, la fecha y hora de primer y último inicio registrados y el conteo de ejecuciones.

[Figura 5] Vista de la carpeta C:\Windows\Prefetch con varios archivos .pf, destacando el correspondiente a un programa de interés.

Nombre	Fecha de modificación	Tipo
CHROME.EXE-7B0683C.pf	23/04/2024 12:17 p.m.	PF File
EXPLORER.EXE-28F6CF77.pf	22/04/2024 12:17 p.m.	PF File
FIREFOX.EXE-11BE7758.pf	22/04/2024 12:17 p.m.	PF File
MSCORSVW.EXE-3E69D4E6.pf	22/04/2024 12:45 p.m.	PF File
NOTEPAD.EXE-9D56FCAF.pf	22/04/2024 12:17 p.m.	PF File
SERVICES.EXE-32D1A1BD.pf	22/04/2024 12:17 p.m.	PF File
7-ZIP.D-7428688F.pf	22/04/2024 12:17 p.m.	PF File
SMB2SRV.DLL-457FO8299.pf	22/04/2024 12:36 p.m.	PF File
SVCHOST.EXE-AWE064BE.pf	22/04/2024 02:09 p.m.	PF File

Desde el punto de vista probatorio, esto es relevante por varias razones:

• los archivos Prefetch pueden permanecer luego de desinstalar el programa, siempre que no se exceda el límite de entradas que Windows mantiene (en versiones recientes, hasta 1024 archivos aproximadamente);
• aun si el ejecutable ya no está en disco, la presencia de un .pf permite acreditar que el programa existió en cierta ruta y fue ejecutado un número determinado de veces;
• la fecha de último inicio puede ayudar a establecer una línea de tiempo, especialmente cuando se la correlaciona con otros artefactos.

Las limitaciones a considerar incluyen:

• usuarios o herramientas de "optimización" pueden borrar el contenido de C:\Windows\Prefetch;
• el reemplazo de disco, la reinstalación del sistema o la desactivación de Prefetch por políticas de grupo pueden eliminar este artefacto;
• Prefetch no suele registrar quién ejecutó la aplicación, sólo que se ejecutó.

6.2. AmCache y ShimCache: cachés de compatibilidad y actividad

Otros artefactos ampliamente estudiados en la literatura de forensia Windows son AmCache y ShimCache (también conocido como AppCompatCache).

En síntesis:

AmCache es un hive de registro (Amcache.hve, típicamente en C:\Windows\AppCompat\Programs\) que almacena información sobre programas ejecutados, incluyendo:

• ruta del ejecutable;
• hashes (por ejemplo SHA-1) del archivo;
• marcas de tiempo vinculadas a la instalación, primera ejecución y, en muchos casos, a la eliminación del archivo.

ShimCache registra información sobre ejecutables cargados por el sistema a efectos de compatibilidad; aunque no siempre garantiza precisión temporal, ofrece un panorama histórico de programas que estuvieron presentes.

[Figura 6] Esquema conceptual de la estructura de Amcache.hve y las entradas de programas con campos de ruta, hash y tiempos asociados.

Guías especializadas explican que AmCache y ShimCache son especialmente valiosos porque:

• suelen conservar referencia a programas ya eliminados del sistema de archivos;
• permiten vincular ejecutables con tiempos aproximados de ejecución e instalación;
• se prestan a análisis automatizado mediante herramientas forenses específicas, que extraen las entradas y las presentan en forma de tabla.

Para un perito que investiga software desinstalado, estos artefactos pueden:

• confirmar que un ejecutable estuvo presente en el sistema y fue ejecutado;
• mostrar su ruta original, aun cuando las carpetas hayan sido borradas;
• ofrecer marcas temporales que, correlacionadas con logs y Prefetch, ayudan a reconstruir la secuencia instalación → uso → desinstalación.

6.3. Otros artefactos de sistema de archivos

Más allá de los artefactos específicos anteriores, la literatura forense destaca que la existencia de un programa y su posterior eliminación pueden dejar rastro en:

• entradas de la Master File Table (MFT) del sistema de archivos NTFS, incluso cuando el archivo ya no existe físicamente;
• el diario USN, que registra cambios en archivos y directorios;
• accesos directos (archivos LNK) en el escritorio y otras ubicaciones;
• espacio no asignado (unallocated) y sectores marcados como libres, donde aún puede residir contenido del ejecutable o archivos asociados a la aplicación.

Estos análisis requieren herramientas forenses específicas y exceden el propósito de una inspección de primer nivel, pero conviene mencionarlos en informes técnicos para explicar por qué es posible encontrar evidencia de un programa aunque éste haya sido desinstalado o borrado.

7. Detección de desinstalación "a último momento"

En muchas investigaciones, especialmente en materia penal o de propiedad intelectual, surge la hipótesis de que el investigado desinstaló o borró software poco antes de un allanamiento o secuestro judicial con la intención de dificultar la prueba. La tarea del perito no es presumir intenciones, sino documentar objetivamente indicios técnicos que puedan sostener o descartar esta hipótesis.

A continuación se describen mecanismos típicos para detectar estos escenarios.

7.1. Correlación temporal con registros de eventos

Si el software se instaló mediante Windows Installer, los eventos de MsiInstaller ofrecen un punto de partida robusto:

• un evento 11724 (desinstalación) registrado minutos u horas antes de la hora de incautación del equipo puede indicar una desinstalación reciente;
• la existencia de múltiples ciclos instalación–desinstalación sobre el mismo producto en un periodo acotado puede ser coherente con intentos de pruebas, reinstalaciones o encubrimiento.

En informes periciales, resulta especialmente útil construir una línea de tiempo en la que se ubiquen, en una misma escala temporal:

• Eventos de instalación y desinstalación (MsiInstaller);
• Eventos relevantes del sistema (apagados, reinicios, cambios de fecha/hora del sistema);
• Hitos procesales (allanamiento, secuestro, copias forenses, etc.).

7.2. Coherencia entre artefactos de ejecución y estado actual del sistema

Otra estrategia consiste en comparar el estado actual (programas efectivamente presentes en disco y listados en Uninstall) con los artefactos de ejecución histórica:

• Si existe un archivo Prefetch, una entrada en AmCache y referencias en ShimCache para un programa concreto, pero no hay rastro del ejecutable ni de su carpeta en el sistema de archivos actual, es razonable concluir que el programa estuvo instalado y fue ejecutado, y que luego fue eliminado;
• Si además los tiempos de última ejecución registrados en Prefetch o AmCache son cercanos al momento del allanamiento o de la intervención forense, esto refuerza la hipótesis de uso reciente seguido de desinstalación o borrado.

El análisis debe documentar cuidadosamente:

• El contenido de Prefetch (fechas de primer y último inicio);
• Las entradas de AmCache y ShimCache correspondientes al ejecutable;
• La ausencia del binario y sus carpetas en el sistema de archivos actual (MFT, búsquedas recursivas, etc.).

7.3. Indicios de limpieza deliberada

En algunos casos, más que una simple desinstalación, el perito se enfrenta a acciones de limpieza deliberada. Entre las más habituales se encuentran el vaciado manual o automatizado de la carpeta C:\Windows\Prefetch, la eliminación de registros de eventos -en particular los logs Application y System- y el uso de utilidades de "optimización" o "limpieza" del sistema que, como efecto colateral, suprimen artefactos forenses tales como historiales, logs y cachés.

En estos escenarios, la ausencia de artefactos que normalmente deberían existir puede ser en sí misma significativa, siempre que se describa con prudencia. Un sistema que ha sido utilizado durante años y que no cuenta con ningún archivo Prefetch activo, por ejemplo, resulta anómalo y sugiere algún tipo de intervención manual o de software. De modo similar, un log de Application cuyos registros más antiguos son muy recientes -en comparación con la antigüedad del sistema o de otros logs- puede indicar que el registro fue truncado o limpiado.

Es importante que el informe pericial aclare expresamente que estas observaciones no prueban por sí mismas una intención de encubrir, pero sí describen condiciones técnicas compatibles con acciones de borrado o limpieza que deben ser valoradas en contexto junto con el resto de la evidencia.

7.4. Alcances probatorios y problemas

La inferencia de que "se borró el software a último momento para evitar la prueba" debe manejarse con cautela. Existen problemas estructurales que limitan el alcance probatorio: no todo el software genera eventos MSI ni todas las aplicaciones crean archivos Prefetch, por lo que la cobertura nunca es total; algunos artefactos pueden perderse por rotación, actualización del sistema o cambios de hardware; los relojes de los equipos pueden estar mal configurados o haber sufrido ajustes manuales, lo que introduce posibles desfasajes temporales; y, finalmente, usuarios o administradores pueden desinstalar software o ejecutar rutinas de mantenimiento por motivos legítimos, sin relación con la investigación.

Por ello, resulta esencial que el perito exprese sus conclusiones en términos de probabilidad técnica y coherencia de artefactos, evitando atribuir intenciones subjetivas que excedan lo que los datos permiten sostener. Las inferencias deben apoyarse en múltiples fuentes de evidencia -registro, eventos, Prefetch, AmCache, sistema de archivos- y no depender de un único indicador potencialmente ambiguo. Asimismo, el informe debe explicar con claridad las limitaciones metodológicas y las alternativas plausibles, de modo que el magistrado pueda valorar adecuadamente el peso probatorio de cada hallazgo dentro del conjunto del caso.

8. Recomendaciones prácticas para peritos

A modo de síntesis operativa, al analizar posibles desinstalaciones de software en Windows resulta recomendable:

1. Documentar el estado actual: capturas de Configuración > Aplicaciones y Programas y características; inventario de archivos ejecutables relevantes en disco.
2. Exportar y analizar las claves Uninstall: de HKLM y HKCU, registrando DisplayName, InstallDate, UninstallString y LastWrite de las subclaves.
3. Revisar los logs de eventos: (Application) filtrando por MsiInstaller y IDs relevantes (11707, 11724), correlacionando con la cronología del caso.
4. Analizar el contenido de Prefetch: identificando .pf asociados a programas de interés y extrayendo sus tiempos de primer y último inicio.
5. Extraer y analizar AmCache y ShimCache: utilizando herramientas forenses reconocidas, para identificar programas ejecutados, rutas originales y tiempos asociados.
6. Buscar indicios de limpieza o truncamiento de logs: y caches que puedan afectar la interpretación de los artefactos.
7. Construir una línea de tiempo integrada: que combine instalación, ejecución y desinstalación con hitos procesales relevantes.
8. Explicar claramente en el informe: las fortalezas y limitaciones de la evidencia, evitando afirmaciones categóricas que no se sostengan en los datos disponibles.

9. Conclusión

El ecosistema Windows genera una gran cantidad de artefactos que pueden ser aprovechados para reconstruir la historia de instalación, uso y desinstalación de software. Cuando se analizan de forma conjunta -registro, registros de eventos, Prefetch, AmCache, ShimCache y sistema de archivos- es posible acreditar, con alto grado de detalle, que determinado programa estuvo instalado, fue ejecutado y luego fue eliminado, incluso en contextos donde se sospecha de desinstalaciones de último momento o de acciones de limpieza orientadas a dificultar la prueba.

Para el perito, el desafío consiste en integrar estos indicios de manera rigurosa y prudente, evitando tanto la subestimación (tratar la desinstalación como un mero dato anecdótico) como la sobreinterpretación (atribuir intenciones sin sustento técnico suficiente). Un trabajo metódico, documentado y transparente en la exposición de sus límites permite que jueces y fiscales cuenten con una base sólida para valorar la relevancia jurídico-penal de la evidencia y adoptar decisiones informadas en procesos donde el software y su rastro digital ocupan un lugar central.