Quieres hacer la "instantánea del pobre". Hago esto con bastante frecuencia cuando construyo mis propios MSI para software de terceros con WIX.
Process Monitor es probablemente demasiado detallado para lo que intentas hacer. Puede intentar hacer una "instantánea" del registro usando algo como:
REGEDIT /E BEFORE.REG
Y luego nuevamente para que puedas comparar.
Con el sistema de archivos, he usado la utilidad gratuita " FileList " para generar una instantánea "antes" y "después" del sistema de archivos.
Las modificaciones dentro de los archivos existentes son problemáticas. Es posible que deba tomar una instantánea inicial, ubicar los archivos que han sido modificados y luego revertirlos (normalmente uso una máquina virtual y la funcionalidad de instantánea de disco incorporada para la reversión) y tomar una instantánea "anterior" de cada archivo que sabes que va a ser modificado para compararlo con la versión "después".
Recuerde que capturar los cambios no es lo mismo que capturar la lógica del programa de instalación. Siempre que sea posible, se prefiere aplicar ingeniería inversa al programa de configuración en lugar de intentar capturar los cambios. Puede perder los matices que no está viendo debido a las circunstancias de la configuración de su computadora instantánea.
El antiguo WinInstall 2003 LE que vino con Windows 2000 Server hace un trabajo bastante decente al generar este tipo de instantáneas con fines de referencia, pero los MSI que genera son abismales. (Dejé de usarlo y comencé a hacer instantáneas "a mano" como he descrito anteriormente).