PrimaryId (AppUserModelID)

PrimaryId est la colonne de la table NotificationHandler de wpndatabase.db qui identifie l'application derrière un gestionnaire de notifications. Il s'agit généralement d'un AppUserModelID (AUMID), l'identifiant que Windows utilise pour regrouper les fenêtres, les entrées de la barre des tâches et les notifications d'une application.

Sa forme dépend du type d'application :

• Les applications empaquetées utilisent le nom de famille du package suivi d'un identifiant d'application, sous la forme Publisher.App_hash!AppId.
• Les applications de bureau utilisent l'AUMID qu'elles déclarent, comme Microsoft.Office.OUTLOOK.EXE.15, ou le chemin de leur exécutable.
• Les sources système utilisent des identifiants commençant par Windows.SystemToast..

Lorsque l'identifiant est un chemin, son premier élément peut être un GUID de dossier connu au lieu d'une lettre de lecteur. Par exemple, {6D809377-6AF0-444B-8957-A3773F02200E} représente Program Files et {1AC14E77-02E7-4E5D-B744-2EB1AE5198B7} System32.

Pourquoi c'est important dans une investigation

PrimaryId permet d'attribuer une notification à une application : joignez Notification.HandlerId à NotificationHandler.RecordId et lisez-le. Un identifiant sous forme de chemin indique aussi où se trouvait l'exécutable lors de son enregistrement. Une application dans Program Files ou Windows est attendue ; une application dans ProgramData, Users\Public, un dossier temporaire ou un dossier de profil mérite un examen plus attentif, même si de nombreux logiciels légitimes s'installent par utilisateur.

Exemple

La lettre de lecteur n'est pas enregistrée : le parseur affiche donc les dossiers connus sous forme de variables d'environnement.

Termes associés

• Gestionnaire de notifications
• Canal push WNS
• Notification toast

Filtrez les notifications par application dans le Windows Notification Parser ; les tables et colonnes de wpndatabase.db expliquées détaille la table des gestionnaires.