Glossar
PrimaryId (AppUserModelID)
Die Kennung der App hinter einem Notification Handler: meist eine AppUserModelID wie Paketfamilienname plus App-ID oder die Kennung einer Desktop-App.
PrimaryId ist die Spalte der Tabelle NotificationHandler in wpndatabase.db, die die App hinter einem Notification Handler identifiziert. Meist handelt es sich um eine AppUserModelID (AUMID), die Kennung, mit der Windows die Fenster, Taskleisteneinträge und Benachrichtigungen einer App gruppiert.
Ihre Form hängt von der Art der App ab:
- Paketierte Apps verwenden den Paketfamiliennamen plus eine App-ID, als
Publisher.App_hash!AppId. - Desktop-Apps verwenden die AUMID, die sie deklarieren, etwa
Microsoft.Office.OUTLOOK.EXE.15, oder den Pfad ihrer ausführbaren Datei. - Systemquellen verwenden Kennungen, die mit
Windows.SystemToast.beginnen.
Ist die Kennung ein Pfad, kann ihr erstes Element eine Known-Folder-GUID statt eines Laufwerksbuchstabens sein. So steht {6D809377-6AF0-444B-8957-A3773F02200E} für Program Files und {1AC14E77-02E7-4E5D-B744-2EB1AE5198B7} für System32.
Warum es für Ermittlungen wichtig ist
Über PrimaryId ordnen Sie eine Benachrichtigung einer App zu: Verknüpfen Sie Notification.HandlerId mit NotificationHandler.RecordId und lesen Sie den Wert. Eine pfadbasierte Kennung verrät außerdem, wo die ausführbare Datei bei der Registrierung lag. Eine App unter Program Files oder Windows ist zu erwarten; eine unter ProgramData, Users\Public, in einem Temp-Ordner oder einem Profilordner verdient einen genaueren Blick, auch wenn viel legitime Software pro Benutzer installiert wird.
Beispiel
| PrimaryId wie gespeichert | Anzeige im Parser |
|---|---|
Contoso.Chat_8wekyb3d8bbwe!App | unverändert, Kurzname Contoso.Chat |
{1AC14E77-02E7-4E5D-B744-2EB1AE5198B7}\cmd.exe | %SystemRoot%\System32\cmd.exe |
{6D809377-6AF0-444B-8957-A3773F02200E}\Vendor\app.exe | %ProgramFiles%\Vendor\app.exe |
Der Laufwerksbuchstabe wird nicht gespeichert, daher stellt der Parser Known Folders als Umgebungsvariablen dar.
Verwandte Begriffe
Filtern Sie Benachrichtigungen im Windows Notification Parser nach App; wpndatabase.db: Tabellen und Spalten erklärt beschreibt die Handler-Tabelle vollständig.