Glossar
Known-Folder-GUID (KNOWNFOLDERID)
Eine GUID, mit der Windows einen Standardordner wie System32 oder Program Files benennt. AppId-Pfade in Timeline beginnen oft damit statt mit einem Laufwerk.
Windows identifiziert Standardordner über KNOWNFOLDERID-Konstanten (Microsoft Learn). In ActivitiesCache.db beginnen Anwendungspfade oft mit einer davon: {1AC14E77-02E7-4E5D-B744-2EB1AE5198B7} steht für System32, {6D809377-6AF0-444B-8957-A3773F02200E} für das 64-Bit-Program-Files, {7C5A40EF-A0FB-4BFC-874A-C0F2E0B9FA8E} für Program Files (x86).
Da die GUID keinen Laufwerksbuchstaben enthält, zeigt der Windows Timeline Parser sie als Umgebungsvariable wie %ProgramFiles% an. Siehe Aktivitätstypen und Payload-Felder.