WPDBUSENUM

WPDBUSENUM ist der Enumerator für Windows Portable Devices. Wird ein Wechselmedium gemountet, legt Windows dafür einen Software-Geräteknoten unter SYSTEM\ControlSet00x\Enum\SWD\WPDBUSENUM an, meist benannt nach dem Gerätepfad des Datenträgers (_??_USBSTOR#Disk&Ven_…#<serial>&0#{53f56307-…}). Ein passender Schlüssel erscheint im SOFTWARE-Hive unter Microsoft\Windows Portable Devices\Devices, großgeschrieben als SWD#WPDBUSENUM#_??_USBSTOR#…. An beiden Stellen ist der Wert FriendlyName das Volume-Label oder, wenn das Volume kein Label hat, der Laufwerksbuchstabe (zum Beispiel E:\).

Warum der Schlüssel für Ermittlungen wichtig ist

WPDBUSENUM ist eine der wenigen Stellen in der Registry, an denen ein Volume-Label erhalten bleibt. Das Label bestätigt andere Quellen: EMDMgmt, das Feld VolumeLabel von Verknüpfungen und Jump Lists sowie die von Partition/Diagnostic 1006 protokollierten Bootsektoren. Fehlt das Label, hilft der Laufwerksbuchstabe an seiner Stelle weiterhin bei der Zuordnung von ordnerbezogenen Artefakten wie ShellBags.

Der Knoten in SYSTEM trägt eine ContainerID, die ihn mit den passenden USBSTOR- und USB-Knoten verbindet, auch wenn die Namen voneinander abweichen. Der Schlüssel in SOFTWARE hat eine letzte Schreibzeit, die grob anzeigt, wann Windows den Eintrag zuletzt aktualisiert hat.

Einträge, deren Name nicht auf einen USBSTOR-Pfad verweist, sind tragbare Geräte statt Massenspeicher-Volumes, etwa manche Smartphones und Kameras. Sie belegen, dass ein Gerät angeschlossen war, nicht aber, dass ein Dateisystem gemountet wurde.

Beispiel

SYSTEM\ControlSet001\Enum\SWD\WPDBUSENUM\
  _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}
      FriendlyName = BACKUP
      ContainerID  = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}

SOFTWARE\Microsoft\Windows Portable Devices\Devices\
  SWD#WPDBUSENUM#_??_USBSTOR#DISK&VEN_CONTOSO&PROD_SECUREFLASH&REV_1.00#CS1234567890&0#{53F56307-…}
      FriendlyName = BACKUP

Die Seriennummer CS1234567890 hatte ein Volume mit dem Label BACKUP.

Warum der Schlüssel für Ermittlungen wichtig ist

Beispiel

Verwandte Begriffe