Glosario
Gestor de notificaciones (handler)
Aplicación registrada en la plataforma de notificaciones de Windows, almacenada como fila de NotificationHandler con su PrimaryId, tipo y hora de creación.
Un gestor de notificaciones (handler) es una aplicación, o un componente del sistema, registrado en la plataforma de notificaciones de Windows para poder enviar notificaciones al usuario. Cada gestor es una fila de la tabla NotificationHandler de wpndatabase.db. Su RecordId es la clave primaria a la que apuntan las notificaciones mediante Notification.HandlerId, y su PrimaryId indica de qué aplicación se trata.
Las demás columnas describen el registro: HandlerType (por ejemplo app:desktop, app:immersive o app:system), WNSId y WNFEventName para los identificadores del servicio push y del mecanismo de notificación, ParentId y ContainerSid, y CreatedTime / ModifiedTime. Las tablas clave / valor relacionadas, HandlerAssets y HandlerSettings, guardan más detalles por gestor; sus claves varían según la aplicación y la compilación de Windows.
Por qué importa en una investigación
La tabla de gestores es una lista de todas las aplicaciones que podían notificar a este usuario, queden o no notificaciones suyas. Dos casos merecen atención. Primero, un gestor creado durante el periodo de interés: una aplicación que se registró para enviar notificaciones en plena intrusión. Segundo, un gestor identificado por una ruta en una ubicación en la que el usuario puede escribir, como ProgramData, Users\Public o una carpeta de perfil, que el parser marca como aplicación inusual. Muchas aplicaciones legítimas también están ahí, así que corrobóralo con artefactos de ejecución. Ten en cuenta que CreatedTime y ModifiedTime son texto con una zona horaria no documentada, a diferencia de los valores FILETIME en UTC de las notificaciones.
Ejemplo
SELECT n.ArrivalTime, h.PrimaryId, h.HandlerType, h.CreatedTime
FROM Notification n
JOIN NotificationHandler h ON n.HandlerId = h.RecordId;
En el ejemplo ficticio del sitio aparece un gestor cuyo PrimaryId es C:\ProgramData\Intel\m64.exe, con un CreatedTime de 2026-09-14 10:11:58, un minuto antes de su único toast.
Términos relacionados
La vista Aplicaciones y canales del Windows Notification Parser muestra todos los gestores; el caso de respuesta a incidentes muestra uno en contexto.