В Windows Server 2016 Technical Preview 4 создается несколько записей для оценки стоимости MSI.
В разделе HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall {ProductCode} запись EstimatedSize создается во время выполнения MSI, но через некоторое время автоматически создается другая запись "sEstimatedSize2". Проблема заключается в том, что при удалении куста {ProductCode} остается с этим реестром sEstimatedSize2.
Есть ли способ узнать, кто изменил реестр? Я могу узнать, когда этот ключ был создан с помощью regscanner.