Glosario
GUID de carpeta conocida (KNOWNFOLDERID)
Un GUID con el que Windows nombra una carpeta estándar como System32 o Program Files. Las rutas AppId de Timeline suelen empezar por uno de ellos.
Windows identifica las carpetas estándar mediante constantes KNOWNFOLDERID (Microsoft Learn). En ActivitiesCache.db, las rutas de aplicación suelen empezar por una: {1AC14E77-02E7-4E5D-B744-2EB1AE5198B7} es System32, {6D809377-6AF0-444B-8957-A3773F02200E} es Program Files de 64 bits y {7C5A40EF-A0FB-4BFC-874A-C0F2E0B9FA8E} es Program Files (x86).
Como el GUID no registra la letra de unidad, Windows Timeline Parser lo muestra como variable de entorno, por ejemplo %ProgramFiles%. Vea tipos de actividad y campos del payload.