Glosario
CCM_RecentlyUsedApps (medición de software SCCM)
Clase WMI del cliente de ConfigMgr que registra, por usuario y ejecutable, la ruta, el último inicio, el recuento de inicios y la versión del archivo.
CCM_RecentlyUsedApps es una clase WMI del cliente de Configuration Manager (SCCM / ConfigMgr), en el espacio de nombres root\ccm\SoftwareMeteringAgent. Su componente de medición de software guarda una instancia por ejecutable y usuario: desde dónde se ejecutó el archivo (FolderPath, ExplorerFileName), quién lo ejecutó (LastUserName), cuándo fue la última vez (LastUsedTime), con qué frecuencia (LaunchCount) y la información de versión del archivo (CompanyName, ProductName, FileDescription, OriginalFileName y otras). Configuration Manager la utiliza para los informes de uso de software.
Por qué importa en una investigación
Para un investigador, es evidencia de ejecución, por usuario, que sobrevive a la eliminación del binario. Solo existe en equipos con el cliente de ConfigMgr, pero donde existe se encuentra en el mismo repositorio CIM que ya recopila para la persistencia WMI, así que no hace falta ninguna adquisición adicional.
Al leerla importan dos detalles. LastUsedTime es una cadena CIM DATETIME que lleva su propio desfase respecto a UTC en minutos, así que conviértala con ese desfase en lugar de suponer una zona horaria. Además, refleja el último inicio por ese usuario, no el primero. Como cada actualización reescribe el registro, OBJECTS.DATA a menudo conserva copias más antiguas en el espacio liberado, con un LastUsedTime anterior y un LaunchCount menor; recuperarlas mediante carving puede permitir fechar ejecuciones anteriores.
Ejemplo
Un registro de una herramienta iniciada desde una carpeta en la que los usuarios pueden escribir:
FolderPath C:\ProgramData\Intel\
ExplorerFileName m64.exe
LastUserName FIN\svc_backup
LastUsedTime 20260914100914.000000+000 (10:09:14 UTC)
LaunchCount 2
CompanyName (empty)
La ausencia de información de versión, una carpeta fuera de Program Files y un recuento de inicios bajo merecen una revisión más detenida. Ninguno de ellos prueba nada por sí solo: identifique el archivo antes de sacar conclusiones. Este registro procede del host de ejemplo ficticio FIN-WKS-07 que se incluye con la herramienta.
Términos relacionados
WMI Parser muestra estos registros, activos y recuperados mediante carving, en su vista de evidencias de ejecución. Para el significado de los campos y un ejemplo comentado, lea SCCM RecentlyUsedApps: evidencia de ejecución en WMI.