Glossaire
ActivitiesCache.db
La base SQLite propre à chaque utilisateur derrière Windows Timeline et l'historique des activités, stockée sous ConnectedDevicesPlatform dans AppData\Local.
ActivitiesCache.db est la base SQLite dans laquelle Windows 10 (à partir de la version 1803) enregistre l'historique des activités d'un utilisateur : applications utilisées, fichiers et pages ouverts, temps de focus par application et, dans certaines configurations, texte du presse-papiers. Elle se trouve dans %LOCALAPPDATA%\ConnectedDevicesPlatform\<account-folder>\ et fonctionne en mode write-ahead log : elle s'accompagne d'un fichier ActivitiesCache.db-wal à collecter avec elle.
Les tables utiles sont Activity, ActivityOperation et Activity_PackageId. Voir le guide complet de l'analyse forensique de Windows Timeline et son emplacement.