Skip to content
NotificationPARSER

Glosario

PrimaryId (AppUserModelID)

Identificador de la aplicación de un gestor de notificaciones: suele ser un AppUserModelID, como familia de paquete más id de app, o un id de escritorio.

PrimaryId es la columna de la tabla NotificationHandler de wpndatabase.db que identifica la aplicación que hay detrás de un gestor de notificaciones. Suele ser un AppUserModelID (AUMID), el identificador que Windows usa para agrupar las ventanas, las entradas de la barra de tareas y las notificaciones de una aplicación.

Su forma depende del tipo de aplicación:

  • Las aplicaciones empaquetadas usan el nombre de familia del paquete más un identificador de aplicación, como Publisher.App_hash!AppId.
  • Las aplicaciones de escritorio usan el AUMID que declaran, como Microsoft.Office.OUTLOOK.EXE.15, o la ruta de su ejecutable.
  • Los orígenes del sistema usan identificadores que empiezan por Windows.SystemToast..

Cuando el identificador es una ruta, su primer elemento puede ser el GUID de una carpeta conocida en lugar de una letra de unidad. Por ejemplo, {6D809377-6AF0-444B-8957-A3773F02200E} representa Program Files y {1AC14E77-02E7-4E5D-B744-2EB1AE5198B7}, System32.

Por qué importa en una investigación

PrimaryId es la forma de atribuir una notificación a una aplicación: une Notification.HandlerId con NotificationHandler.RecordId y léelo. Un identificador en forma de ruta indica además dónde estaba el ejecutable cuando se registró. Una aplicación en Program Files o Windows es lo esperable; una en ProgramData, Users\Public, una carpeta temporal o una carpeta de perfil merece una revisión más atenta, aunque mucho software legítimo se instala por usuario.

Ejemplo

PrimaryId guardadoMostrado por el parser
Contoso.Chat_8wekyb3d8bbwe!Appsin cambios, nombre corto Contoso.Chat
{1AC14E77-02E7-4E5D-B744-2EB1AE5198B7}\cmd.exe%SystemRoot%\System32\cmd.exe
{6D809377-6AF0-444B-8957-A3773F02200E}\Vendor\app.exe%ProgramFiles%\Vendor\app.exe

La letra de unidad no se registra, así que el parser muestra las carpetas conocidas como variables de entorno.

Términos relacionados

Filtra las notificaciones por aplicación en el Windows Notification Parser; wpndatabase.db: tablas y columnas explicadas describe la tabla de gestores al completo.