USBSTOR

USBSTOR ist der Schlüssel ControlSet00x\Enum\USBSTOR im SYSTEM-Hive, in dem Windows für jedes installierte USB-Massenspeichergerät einen Eintrag ablegt. Darunter kodiert ein Klassenschlüssel pro Modell den Gerätetyp sowie Hersteller, Produkt und Revision, wie das Gerät sie meldet, etwa Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00 (Unterstriche stehen für Leerzeichen). Unter jedem Klassenschlüssel trägt ein Instanzschlüssel pro Gerät dessen Seriennummer, ein & und eine Logical Unit Number: CS1234567890&0.

Warum der Schlüssel für Ermittlungen wichtig ist

USBSTOR ist das Inventar: Der Schlüssel beantwortet, welche Speichergeräte jemals auf diesem Computer installiert wurden. Jeder Instanzschlüssel enthält einen FriendlyName (was der Geräte-Manager anzeigt), eine ContainerID, die ihn mit dem passenden Enum\USB-Knoten verbindet, und einen Unterschlüssel Properties mit den Zeitstempeln der Geräteeigenschaften: Installation, Erstinstallation, letztes Anschließen und letztes Entfernen.

Die Seriennummer im Instanznamen ist der erste Korrelationsschlüssel zu setupapi.dev.log, den Ereignisprotokollen, MountedDevices und EMDMgmt. Prüfen Sie vorher das zweite Zeichen: Ist es ein &, handelt es sich um eine von Windows erzeugte Seriennummer, die nur auf diesem Computer aussagekräftig ist. Kartenleser mit mehreren Steckplätzen können mehrere Instanzen mit &0, &1 usw. zeigen, eine pro Logical Unit.

Was USBSTOR nicht verrät: wer das Gerät benutzt hat und was darauf geschah. Dafür braucht es die benutzerbezogenen Artefakte. Lesen Sie den Kontrollsatz, auf den Select\Current verweist; andere Kontrollsätze können ältere Kopien enthalten. Das Deinstallieren eines Geräts entfernt seinen Schlüssel vollständig.

Beispiel

SYSTEM\ControlSet001\Enum\USBSTOR\Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00\CS1234567890&0
    FriendlyName = Contoso SecureFlash USB Device
    ContainerID  = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}
    Properties\{83da6326-97a6-4088-9453-a1923f573b29}\0064 … 0067

Hersteller Contoso, Produkt SecureFlash, Revision 1.00, Seriennummer CS1234567890, Logical Unit 0.

Verwandte Begriffe

• Geräteinstanz-ID: das Namensschema des Instanzschlüssels.
• ContainerID: die Verbindung zu Enum\USB und WPDBUSENUM.
• Zeitstempel der Geräteeigenschaften: die Daten unter Properties.
• MountedDevices: Laufwerksbuchstabe und Volume-GUID zur selben Seriennummer.

USB Forensics liest USBSTOR aus dem SYSTEM-Hive und erstellt eine Karte pro Gerät. Details finden Sie in USBSTOR-Forensik.