Glosario
Marcas de tiempo de propiedades del dispositivo (0064–0067)
FILETIME bajo la clave Properties\{83da6326-…} de un dispositivo: 0064 instalación, 0065 primera instalación, 0066 última conexión, 0067 extracción.
Windows 8+ guarda las propiedades del dispositivo bajo Enum\…\<instance>\Properties. El grupo {83da6326-97a6-4088-9453-a1923f573b29} contiene los identificadores de propiedad 100–103 de devpkey.h: 0064 InstallDate, 0065 FirstInstallDate, 0066 LastArrivalDate y 0067 LastRemovalDate, cada uno un FILETIME.
Solo dan la primera instalación y la última conexión y extracción, y desaparecen cuando se desinstala el dispositivo. Compáralas con setupapi.dev.log y los registros de eventos. Consulta el análisis forense de USBSTOR.