Glosario
AppId (JSON)
La columna de ActivitiesCache.db que identifica la aplicación como un array JSON de pares plataforma/aplicación, a menudo con GUID de carpetas conocidas.
La columna AppId contiene un array JSON como [{"application": "{1AC14E77-...}\\notepad.exe", "platform": "windows_win32"}, ...]. Entre las plataformas observadas figuran windows_win32, x_exe_path, windows_universal, packageId y alternateId (kacos2000).
Las rutas de las aplicaciones de escritorio suelen empezar por un GUID de carpeta conocida en lugar de una unidad y una carpeta. Una entrada x_exe_path con una ruta literal en una carpeta escribible por el usuario merece atención. Vea tipos de actividad y campos del payload.