Glossaire
CCM_RecentlyUsedApps (contrôle logiciel SCCM)
Classe WMI du client ConfigMgr qui enregistre, par utilisateur et par exécutable, le chemin, le dernier lancement, le nombre de lancements et la version.
CCM_RecentlyUsedApps est une classe WMI du client Configuration Manager (SCCM / ConfigMgr), dans l'espace de noms root\ccm\SoftwareMeteringAgent. Son composant de contrôle logiciel conserve une instance par exécutable et par utilisateur : l'emplacement depuis lequel le fichier a été exécuté (FolderPath, ExplorerFileName), qui l'a exécuté (LastUserName), quand pour la dernière fois (LastUsedTime), combien de fois (LaunchCount), ainsi que les informations de version du fichier (CompanyName, ProductName, FileDescription, OriginalFileName, etc.). Configuration Manager s'en sert pour ses rapports d'utilisation des logiciels.
Pourquoi c'est important en investigation
Pour un enquêteur, c'est une preuve d'exécution, par utilisateur, qui survit à la suppression du binaire. Elle n'existe que sur les machines équipées du client ConfigMgr, mais, lorsqu'elle est présente, elle se trouve dans le même dépôt CIM que celui que vous collectez déjà pour la persistance WMI : aucune acquisition supplémentaire n'est nécessaire.
Deux détails comptent à la lecture. LastUsedTime est une chaîne CIM DATETIME qui porte son propre décalage par rapport à UTC, en minutes : convertissez-la avec ce décalage plutôt que de supposer un fuseau horaire. Et il s'agit du dernier lancement par cet utilisateur, pas du premier. Comme chaque mise à jour réécrit l'enregistrement, OBJECTS.DATA conserve souvent d'anciennes copies dans l'espace libéré, avec un LastUsedTime plus ancien et un LaunchCount plus faible ; les récupérer par carving permet de dater des exécutions antérieures.
Exemple
Un enregistrement pour un outil lancé depuis un dossier accessible en écriture à l'utilisateur :
FolderPath C:\ProgramData\Intel\
ExplorerFileName m64.exe
LastUserName FIN\svc_backup
LastUsedTime 20260914100914.000000+000 (10:09:14 UTC)
LaunchCount 2
CompanyName (empty)
L'absence d'informations de version, un dossier situé hors de Program Files et un faible nombre de lancements méritent tous un examen plus attentif. Aucun de ces indices ne prouve quoi que ce soit à lui seul : identifiez le fichier avant de conclure. Cet enregistrement provient de l'hôte d'exemple fictif FIN-WKS-07 fourni avec l'outil.
Termes associés
WMI Parser affiche ces enregistrements, actifs ou récupérés par carving, dans sa vue des preuves d'exécution. Pour la signification des champs et un exemple commenté, lisez SCCM RecentlyUsedApps : preuves d'exécution dans WMI.