Zum einen kann man FileMon und Regmon von
SysInternals benutzen. Man kann auch einen Snapshot von den Festpallten und der Registry vor und nach der Installation machen. Nachteil dieser Methoden ist allerdings, dass das Programm erstmal installiert werden muss. Ansonsten könnte man die EXE bzw. das
RAM-Image (Stichwort Kompression) nach Strings durchsuchen. Welche Methode jetzt am besten funktioniert, lässt sich aber nicht pauschal sagen.