Skip to content
USBForensics

Glossar

MountedDevices

Der Schlüssel im SYSTEM-Hive, der Laufwerksbuchstaben und Volume-GUIDs dem Datenträger oder Gerät zuordnet, zu dem das jeweilige Volume gehört.

MountedDevices ist ein Schlüssel auf oberster Ebene des SYSTEM-Hives, SYSTEM\MountedDevices, in dem der Bereitstellungsmanager von Windows festhält, zu welchem Volume jeder Laufwerksbuchstabe und jede Volume-GUID gehört. Er enthält zwei Arten von Werten: \DosDevices\E: für Laufwerksbuchstaben und \??\Volume{GUID} für Volume-GUIDs. Die Binärdaten identifizieren das Volume: bei Wechselmedien ein UTF-16-Gerätepfad wie _??_USBSTOR#Disk&Ven_…#<serial>&0#{53f56307-…}; bei einem MBR-Festplattenlaufwerk eine 12 Byte lange Datenträgersignatur mit Partitionsoffset; bei einem GPT-Datenträger DMIO:ID:, gefolgt von der Partitions-GUID.

Warum der Schlüssel für Ermittlungen wichtig ist

MountedDevices ist die Brücke zwischen Gerät und Benutzer. Werte mit identischen Daten beschreiben dasselbe Volume; gruppiert man sie, erhält ein USB-Gerät seinen Laufwerksbuchstaben und seine Volume-GUID. Die Volume-GUID führt dann zu MountPoints2 jedes Benutzers, und der Laufwerksbuchstabe hilft bei der Zuordnung von ShellBags und anderen benutzerbezogenen Artefakten, die nur einen Buchstaben kennen.

Zwei Vorbehalte:

  • Nur das zuletzt mit einem Buchstaben versehene Gerät behält seinen \DosDevices-Wert. Ein Stick, der einmal E: war, verliert diesen Wert, sobald ein anderes Gerät E: erhält, während sein Volume-GUID-Wert in der Regel bestehen bleibt. Ein Buchstabe hier sagt nichts über frühere Verbindungen aus.
  • Der Schlüssel hat keine Zeitstempel pro Wert. Die letzte Schreibzeit des Schlüssels zeigt nur, wann sich zuletzt irgendein Wert geändert hat.

Beispiel

SYSTEM\MountedDevices
  \??\Volume{7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}
      _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}
  \DosDevices\E:
      _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}
  \DosDevices\C:
      12 Byte: MBR-Datenträgersignatur + Partitionsoffset

Beide Contoso-Werte tragen denselben Gerätepfad: Die Seriennummer CS1234567890 wurde zuletzt als E: gemountet, mit der Volume-GUID {7d3f8a2c-…}. C: ist ein interner Datenträger, erkennbar an seiner Signatur statt an einer Seriennummer.

Verwandte Begriffe

  • Volume-GUID: der Bezeichner, der diesen Schlüssel mit Benutzern verbindet.
  • MountPoints2: die benutzerbezogene Liste der Volume-GUIDs.
  • Geräteinstanz-ID: der als Daten gespeicherte Gerätepfad.
  • USBSTOR: dieselbe Seriennummer auf Geräteseite.

USB Forensics gruppiert die Werte von MountedDevices nach ihren Daten und ergänzt jede Gerätekarte um Buchstabe und GUID. Die vollständige Übersicht der USB-Artefakte zeigt, wo dieser Schlüssel einzuordnen ist.