Glossar
EMDMgmt
Ein von ReadyBoost geschriebener Schlüssel im SOFTWARE-Hive, der die Seriennummer eines USB-Geräts mit Volume-Label und Volume-Seriennummer verbindet.
EMDMgmt ist ein Schlüssel im SOFTWARE-Hive, SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt, den ReadyBoost schreibt. Wenn Windows ein Wechselmedium als möglichen ReadyBoost-Cache prüft, legt es für dieses Volume einen Unterschlüssel an. Dessen Name besteht aus dem Gerätepfad des Datenträgers, gefolgt vom Volume-Label, einem Unterstrich und der Volume-Seriennummer in Dezimalschreibweise.
Warum der Schlüssel für Ermittlungen wichtig ist
EMDMgmt ist eine der wenigen Stellen in der Registry, an denen eine Geräte-Seriennummer und eine Volume-Seriennummer nebeneinanderstehen. Die Volume-Seriennummer ist genau das, was Verknüpfungen und Jump Lists für ihre Zieldateien speichern. Ein EMDMgmt-Eintrag kann daher eine auf E: geöffnete Datei einem bestimmten physischen Stick zuordnen, auch wenn der Laufwerksbuchstabe später von einem anderen Gerät belegt wurde.
Er bewahrt außerdem Verlauf. Ein neu formatiertes Gerät erhält eine neue Volume-Seriennummer und oft ein neues Label, sodass derselbe Gerätepfad in mehreren Unterschlüsseln auftauchen kann: einer pro Volume, das ReadyBoost geprüft hat. Zwei Einträge mit derselben Seriennummer und unterschiedlichen Volume-Seriennummern sind ein starkes Indiz für eine Neuformatierung.
Seine Grenzen:
- Auf Systemen, die von einer SSD starten und ReadyBoost nicht verwenden, fehlt er häufig.
- Die letzte Schreibzeit des Unterschlüssels gibt nur ungefähr an, wann das Volume zuletzt geprüft wurde.
- Das Label kann leer sein oder Unterstriche enthalten; die Volume-Seriennummer steht immer nach dem letzten Unterstrich.
Beispiel
SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\
_??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}BACKUP_1016943010
Von hinten gelesen: 1016943010 dezimal ist 0x3C9D51A2, von Windows als 3C9D-51A2 angezeigt; das Label ist BACKUP; die Seriennummer im Gerätepfad ist CS1234567890. Eine Verknüpfung, deren VolumeID die Seriennummer 3C9D-51A2 enthält, verweist also auf eine Datei, die auf diesem Contoso-Stick lag.
Verwandte Begriffe
- Volume-Seriennummer (VSN): der Wert, der aus dem Unterschlüsselnamen dekodiert wird.
- Geräteinstanz-ID: der Gerätepfad am Anfang des Namens.
- Partition/Diagnostic-Ereignis 1006: die andere Quelle für die Volume-Seriennummer eines Geräts.
- WPDBUSENUM: eine weitere Registry-Stelle, die das Volume-Label bewahrt.
USB Forensics dekodiert jeden EMDMgmt-Eintrag und verknüpft ihn mit dem Gerät und den passenden Verknüpfungsdateien. Wie die Seriennummer dabei genutzt wird, zeigt welche Dateien von einem USB-Stick geöffnet wurden.