Glosario
Notificación toast
Notificación emergente que Windows muestra en nombre de una app y guarda en el centro de notificaciones y en wpndatabase.db hasta que caduca o se descarta.
Un toast es el tipo de notificación que más ven los usuarios: una pequeña ventana que aparece en una esquina de la pantalla con el nombre de la aplicación, un título, unas pocas líneas de texto y, opcionalmente, imágenes, botones o un cuadro de respuesta. Cuando desaparece de la pantalla, permanece en el centro de notificaciones hasta que el usuario lo descarta o caduca. Las aplicaciones generan toasts localmente o a través de Windows Push Notification Services, mediante un canal push de WNS.
El contenido de un toast se define en XML siguiendo el esquema de contenido de toast de Microsoft. En wpndatabase.db, un toast es una fila de Notification con Type = toast: su XML está en la columna Payload, su emisor en HandlerId, y sus horas de llegada y caducidad en ArrivalTime y ExpiryTime, ambas valores FILETIME en UTC. Tag y Group son etiquetas que elige la aplicación para sustituir o retirar sus propios toasts; las aplicaciones de chat suelen poner ahí un identificador de mensaje o de conversación.
Por qué importa en una investigación
Los toasts los escribe Windows en nombre de otras aplicaciones, así que conservan una copia de lo que se mostró al usuario incluso cuando el origen desaparece: un mensaje de chat borrado, un archivo en cuarentena, una descarga movida. Lo habitual es encontrar vistas previas de mensajes, alertas del antivirus con la ruta de un archivo, avisos de descarga, avisos de unidades extraíbles y solicitudes de inicio de sesión, cada uno con una hora UTC precisa. Un toast demuestra que el sistema recibió la notificación, no que el usuario la leyera, y su ausencia no demuestra nada.
Ejemplo
En el ejemplo ficticio del sitio, un toast del navegador a las 10:02:04 UTC anuncia «Download complete: tools.zip». Su hora puede cotejarse con las marcas de tiempo de la $MFT del archivo, el historial del navegador y el flujo Zone.Identifier.
Términos relacionados
- XML de la carga útil de la notificación
- Gestor de notificaciones (handler)
- Freeblock de SQLite, donde perduran los toasts descartados
Carga el ejemplo en el Windows Notification Parser y sigue el caso de respuesta a incidentes para ver toasts en una línea de tiempo.