Esta é realmente uma questão decente. Eu não acredito que haja uma resposta simples. Talvez clonar o disco antes e depois pudesse dar algumas pistas? Exceto isso, eu acho que talvez usando find ajudaria? Algo assim; prova de conceito:
find ~ -type f -cmin -30 | more
Esse comando usaria especificamente find para procurar qualquer item em seu diretório pessoal ( ~ ) que fosse um arquivo ( -type f ) criado nos últimos 30 minutos ( -cmin -30 ). A saída de find é canalizada para more para facilitar a leitura, mas você também pode enviar os resultados para um arquivo para revisão posterior como este:
find ~ -type f -cmin -30 >> find_file.txt
Agora, é claro, isso está longe de ser perfeito para uma análise por aplicativo do que foi instalado. Sem mencionar que, para os propósitos descritos na pergunta, o caminho do diretório de ~ teria que ser expandido para cobrir a unidade inteira com / da seguinte forma:
find / -type f -cmin -30 >> find_file.txt
Mas pelo menos isso te dá algo para começar. Talvez faça uma varredura como essa antes da instalação do software e após a instalação do software, diferencie os documentos e tire daí? Execute este comando find antes de instalar o software:
find / -type f -cmin -30 >> find_file_before.txt
Em seguida, execute este comando find depois de instalar o software:
find / -type f -cmin -30 >> find_file_after.txt
Depois, apenas divida esses dois arquivos.
É claro que você pode experimentar alterar o -cmin -30 para algo menor como -cmin -10 ou até mais como -cmin -60 , mas isso depende dos seus objetivos. E, claro, sua vida seria facilitada ao filtrar alguns caches / arquivos efêmeros que são criados / descartados pelo sistema em uso normal. Mas, novamente, concentrar-se no que exatamente você deseja ignorar de um find conectado a uma instalação de software depende de você explorar e refinar.