Glossar
CCM_RecentlyUsedApps (SCCM-Software-Metering)
WMI-Klasse des ConfigMgr-Clients, die pro Benutzer und ausführbarer Datei Pfad, letzten Start, Startanzahl und Versionsinformationen festhält.
CCM_RecentlyUsedApps ist eine WMI-Klasse des Configuration-Manager-Clients (SCCM / ConfigMgr) im Namespace root\ccm\SoftwareMeteringAgent. Seine Software-Metering-Komponente führt eine Instanz pro ausführbarer Datei und Benutzer: woher die Datei gestartet wurde (FolderPath, ExplorerFileName), wer sie gestartet hat (LastUserName), wann zuletzt (LastUsedTime), wie oft (LaunchCount) sowie die Versionsinformationen der Datei (CompanyName, ProductName, FileDescription, OriginalFileName und weitere). Configuration Manager nutzt diese Daten für Berichte über die Softwarenutzung.
Warum das für Untersuchungen wichtig ist
Für Ermittler ist die Klasse ein Ausführungsnachweis pro Benutzer, der das Löschen der Binärdatei übersteht. Sie existiert nur auf Rechnern mit dem ConfigMgr-Client; wo es sie gibt, liegt sie aber im selben CIM-Repository, das Sie ohnehin für WMI-Persistenz sichern. Eine zusätzliche Akquise ist also nicht nötig.
Beim Lesen sind zwei Details wichtig. LastUsedTime ist ein CIM-DATETIME-String, der seinen eigenen Versatz zu UTC in Minuten mitführt; rechnen Sie ihn daher mit diesem Versatz um, statt eine Zeitzone anzunehmen. Außerdem ist es der letzte Start durch diesen Benutzer, nicht der erste. Da jede Aktualisierung den Datensatz neu schreibt, enthält OBJECTS.DATA im freigegebenen Speicher oft noch ältere Kopien mit einer früheren LastUsedTime und einem niedrigeren LaunchCount; wenn Sie diese carven, lassen sich frühere Ausführungen datieren.
Beispiel
Ein Datensatz für ein Werkzeug, das aus einem benutzerbeschreibbaren Ordner gestartet wurde:
FolderPath C:\ProgramData\Intel\
ExplorerFileName m64.exe
LastUserName FIN\svc_backup
LastUsedTime 20260914100914.000000+000 (10:09:14 UTC)
LaunchCount 2
CompanyName (empty)
Fehlende Versionsinformationen, ein Ordner außerhalb von Program Files und eine niedrige Startanzahl verdienen jeweils einen genaueren Blick. Keines dieser Merkmale beweist allein etwas: Identifizieren Sie die Datei, bevor Sie Schlüsse ziehen. Dieser Datensatz stammt vom fiktiven Beispiel-Host FIN-WKS-07, der mit dem Tool ausgeliefert wird.
Verwandte Begriffe
WMI Parser zeigt diese Datensätze, aktiv und gecarvt, in seiner Ansicht für Ausführungsnachweise. Die Bedeutung der Felder und ein durchgearbeitetes Beispiel finden Sie in SCCM RecentlyUsedApps: Ausführungsnachweise in WMI.