Cómo ver una lista de los archivos abiertos recientemente en Windows

Enlaces rápidos

• Qué es Open Save Files View
• Descargar el programa
• Uso de OSFV
• Opciones de idioma
• Cuándo falla y alternativas
• Lista de verificación por rol
• Procedimiento para recopilar evidencia
• Notas de privacidad y cumplimiento
• Criterios de aceptación

Qué es Open Save Files View?

Open Save Files View (OSFV) es una utilidad gratuita de NirSoft que lee dos ubicaciones del registro de Windows (OpenSavePidlMRU y OpenSaveMRU) y muestra una lista de archivos abiertos recientemente por el sistema y por aplicaciones compatibles con el cuadro de diálogo Abrir/Guardar.

Definición breve: OSFV muestra metadatos básicos de archivos abiertos recientemente desde el registro de Windows.

Qué información muestra por cada entrada:

• Nombre del archivo
• Tipo de archivo (extensión)
• Orden en que se abrieron
• Hora de la última apertura para cada formato
• Fecha y hora de creación y modificación (si están disponibles)
• Tamaño del archivo
• Atributos relacionados (si existen)

Compatibilidad: funciona en Windows de 32 y 64 bits.

Importante: OSFV no abre ni modifica los archivos; solo lee registros y muestra metadatos.

Descargar el programa

1. Ve al sitio web de NirSoft y busca “Open Save Files View”.
2. En la página del programa, baja hasta el final y descarga la versión de 32 o 64 bits según tu sistema.
3. Crea una carpeta en el escritorio llamada OSFV y extrae el contenido del archivo ZIP dentro de esa carpeta.

Sugerencia de ubicación: mantener la carpeta en el escritorio facilita la trazabilidad cuando recopiles evidencia.

Uso de OSFV

1. Abre la carpeta OSFV en el escritorio.
2. Haz doble clic en OpenSaveFilesView.exe y espera a que la lista se cargue.

Resultados: la ventana mostrará las entradas recuperadas desde las claves del registro.

Ver documentos abiertos recientemente

Si necesitas comprobar qué se abrió recientemente, ordena por la columna “Open Time”:

• Haz clic una vez para ordenar ascendente; haz clic otra vez para orden descendente.
• La flecha hacia abajo muestra los ítems abiertos más recientemente en la parte superior.

Ejemplo de uso: si sospechas que alguien usó tu equipo y no confiesa, después de que la sesión haya terminado ejecuta OSFV y ordena por “Open Time” para ver las entradas más recientes.

Exportar evidencia

Puedes seleccionar una o varias entradas (Ctrl+clic) y usar el botón Guardar para exportar la lista a un archivo de texto.

Pasos:

1. Ordena por la columna deseada (por ejemplo, “File Modified Time”).
2. Selecciona los archivos relevantes con Ctrl+clic.
3. Pulsa el botón Guardar y elige la ubicación y nombre del archivo (por ejemplo, Evidence.txt).
4. Abre el archivo guardado para revisar los detalles exportados.

Nota: el archivo exportado contiene detalles por cada entrada; conserva este archivo junto con un registro de cuándo y quién realizó la exportación para mantener la cadena de custodia.

Opciones de idioma

OSFV incluye paquetes de idioma adicionales (holandés, alemán, griego y ruso). Para instalar un idioma:

1. Descarga el ZIP del idioma deseado desde la página de NirSoft.
2. Extrae el archivo opensavefilesview_lng.ini y muévelo a la carpeta donde está OpenSaveFilesView.exe (por ejemplo, OSFV en el escritorio).
3. Reinicia OpenSaveFilesView; la interfaz aparecerá en el idioma instalado.

Para volver al inglés, elimina el archivo .ini del directorio del programa y reinicia la aplicación.

Cuándo falla y limitaciones

• OSFV solo muestra entradas que las aplicaciones hayan registrado en las claves OpenSaveMRU/OpenSavePidlMRU; no es un historial forense completo.
• No captura actividad en aplicaciones que no usan los diálogos estándar Abrir/Guardar (p. ej., algunos juegos o apps portables).
• Si el registro ha sido limpiado o sobrescrito, la información puede faltar o estar parcial.
• No recupera archivos borrados ni versiones antiguas; solo muestra metadatos presentes en el registro.

Alternativa cuando OSFV no sirve:

• Revisar otras fuentes: registros de eventos de Windows, puntos de restauración, herramientas forenses de disco (FTK, Autopsy) o análisis de artefactos de aplicaciones específicas (navegadores, suites ofimáticas).

Lista de verificación por rol

Administrador de sistema:

• Descargar la versión correcta (32/64 bits).
• Ejecutar desde carpeta controlada (evitar ubicaciones temporales).
• Exportar listados y anotar fecha/hora de exportación.

Investigador forense:

• Trabajar sobre una copia forense del sistema cuando sea posible.
• Documentar la cadena de custodia del archivo exportado.
• Correlacionar con otras fuentes (logs, timestamp en el sistema de archivos).

Padre o tutor:

• Revisar la lista ordenando por Open Time.
• Exportar y conservar evidencia antes de reiniciar o limpiar el equipo.

Procedimiento (SOP) para recopilar evidencia con OSFV

Objetivo: crear un registro reproducible que muestre archivos abiertos recientemente.

Pasos:

1. Preparación:
   • No reiniciar ni apagar el equipo si buscas evidencia inmediata.
   • Crea una carpeta en el escritorio llamada OSFV y extrae los archivos si aún no lo hiciste.
2. Ejecución:
   • Ejecuta OpenSaveFilesView.exe.
   • Ordena por la columna que necesitas (Open Time o File Modified Time).
   • Selecciona las entradas relevantes con Ctrl+clic.
3. Exportación:
   • Pulsa Guardar, elige una ruta segura (unidad externa preferida), y nombra el archivo con fecha y descripción (ej.: Evidence_2025-10-03.txt).
4. Documentación:
   • Toma una captura de pantalla de la ventana antes y después de la exportación.
   • Registra: nombre del examinador, hora de inicio y fin, y hash del archivo exportado (si procede).
5. Custodia:
   • Mueve la exportación a almacenamiento seguro y registra acceso.

Resultado: un conjunto reproducible de evidencia con mínima alteración del sistema.

Notas de privacidad y cumplimiento

• OSFV lee el registro local; los datos reflejan actividad del usuario en ese equipo.
• Si manejas datos personales de terceros, aplica políticas de privacidad locales y considera el marco legal aplicable (p. ej., GDPR en la UE). Solicita asesoría legal antes de compartir evidencia fuera de los canales oficiales.
• Minimiza la exposición de datos sensibles: exporta solo las entradas necesarias y guarda copias cifradas cuando sea posible.

Criterios de aceptación

Para considerar una extracción de evidencia como válida:

• El archivo exportado contiene las entradas solicitadas y la exportación fue guardada en la ubicación indicada.
• Hay registro documental de quién realizó la extracción y cuándo.
• Se mantuvo la integridad del archivo exportado (idealmente con hash verificable).
• Se han cruzado los hallazgos con al menos una fuente adicional (logs, metadatos del sistema o copia forense) si el caso lo requiere.

Casos de prueba y aceptación básica

1. Caso: Listado rápido
   • Paso: Ejecutar OSFV en un equipo con actividad reciente.
   • Resultado esperado: Lista cargada y ordenable por Open Time.
2. Caso: Exportación
   • Paso: Seleccionar 3 archivos y Guardar.
   • Resultado esperado: Se crea un archivo .txt con las tres entradas y timestamps.
3. Caso: Idioma
   • Paso: Instalar un paquete de idioma y reiniciar OSFV.
   • Resultado esperado: La interfaz aparece en el idioma instalado.
4. Caso: Registro limpio
   • Paso: Ejecutar OSFV en un sistema donde OpenSaveMRU fue limpiado.
   • Resultado esperado: La lista es parcial o vacía; registrar este hecho.

Glosario (1 línea por término)

• Registro: Base de datos de configuración y eventos de Windows.
• MRU: “Most Recently Used”, lista de archivos usados recientemente.
• Exportación: Guardar la lista mostrada en un archivo externo.
• Cadena de custodia: Registro que documenta control y transferencia de evidencia.

Resumen final

Open Save Files View es una herramienta útil y rápida para inspeccionar qué archivos se abrieron recientemente desde los diálogos estándar de Windows. No pretende ser una solución forense completa, pero facilita inspecciones rápidas, la exportación de evidencia y la revisión por roles. Si necesitas un análisis profundo, complementa OSFV con otras fuentes y sigue procedimientos de preservación adecuados.

Créditos de imagen

Imagen: Theen Moy en Flickr

Preguntas frecuentes

¿OSFV modifica archivos del sistema?

No, OSFV solo lee las claves del registro y muestra metadatos; no altera archivos.

¿Puedo usar OSFV en un equipo donde no soy administrador?

Sí, en la mayoría de los casos no requiere privilegios elevados para leer las claves MRU, pero puede haber restricciones según la configuración del sistema.

¿Es suficiente OSFV para una investigación forense completa?

No, es una herramienta complementaria. Para análisis forense completo, use herramientas especializadas y procedimientos de copia forense.