ContainerID

Un ContainerID es un GUID que Windows asigna a todos los nodos de dispositivo que pertenecen al mismo dispositivo físico. Una memoria USB aparece como varios nodos en el hive SYSTEM: el dispositivo USB bajo ControlSet00x\Enum\USB\VID_…&PID_…, el disco bajo Enum\USBSTOR y una vista de dispositivo portátil de su volumen bajo Enum\SWD\WPDBUSENUM. Cada una de estas claves de instancia tiene un valor de cadena ContainerID y, para un mismo dispositivo físico, todas contienen el mismo GUID.

Por qué importa en una investigación

La mayoría de las veces basta con el número de serie para alinear las entradas USB y USBSTOR, porque ambos nombres de instancia lo contienen. El ContainerID es el vínculo que sigue funcionando cuando no es así. El caso típico es un dispositivo con un número de serie generado por Windows: el nodo USB y el nodo USBSTOR reciben entonces ID de instancia inventados y distintos, y solo el ContainerID compartido indica que se trata del mismo lector o de la misma memoria.

También separa el almacenamiento de todo lo demás bajo Enum\USB. Allí viven igualmente concentradores, ratones, teclados y cámaras web; una entrada USB cuyo ContainerID coincide con una entrada USBSTOR es el lado USB de un dispositivo de almacenamiento, con sus identificadores de fabricante y producto.

Una precaución: los dispositivos internos y raíz comparten un contenedor nulo, {00000000-0000-0000-ffff-ffffffffffff} (a veces todo ceros). Ese valor debe ignorarse; de lo contrario, concentradores y controladores sin relación se fusionarían en un único «dispositivo».

Ejemplo

Enum\USB\VID_3F10&PID_4C21\CS1234567890
    ContainerID = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}
Enum\USBSTOR\Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00\CS1234567890&0
    ContainerID = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}
Enum\SWD\WPDBUSENUM\_??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}
    ContainerID  = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}
    FriendlyName = BACKUP

Tres nodos, un solo GUID: una única memoria Contoso cuyo volumen tiene la etiqueta BACKUP. El nodo USB aporta los identificadores de fabricante y producto; el nodo USBSTOR, el modelo y las marcas de tiempo de propiedades; y el nodo WPDBUSENUM, la etiqueta de volumen.

Términos relacionados

• USBSTOR: el nodo del lado del disco al que apunta el ContainerID.
• ID de instancia de dispositivo: el nombre de cada nodo, que normalmente contiene el número de serie.
• WPDBUSENUM: el nodo del lado del volumen, con la etiqueta.
• Número de serie generado por Windows: el caso en que el ContainerID es el único vínculo.

USB Forensics agrupa los nodos de dispositivo por número de serie y ContainerID en tu navegador y muestra la clave del registro detrás de cada vínculo. Para la estructura completa del registro, lee el análisis forense de USBSTOR.