Marcas de tiempo de propiedades del dispositivo (0064

Las marcas de tiempo de propiedades del dispositivo son cuatro valores FILETIME que Windows 8 y posteriores guardan bajo la clave de instancia de cada dispositivo, en SYSTEM\ControlSet00x\Enum\<enumerator>\<device>\<instance>\Properties\{83da6326-97a6-4088-9453-a1923f573b29}. Son los identificadores de propiedad 100 a 103 de ese GUID en el archivo devpkey.h de Windows, guardados como subclaves con nombre hexadecimal: 0064 InstallDate, 0065 FirstInstallDate, 0066 LastArrivalDate y 0067 LastRemovalDate. Cada una es el valor predeterminado de su subclave, de tipo 0xFFFF0010 (una propiedad de dispositivo FILETIME), en UTC.

Por qué importa en una investigación

Son la respuesta del registro a la pregunta cuándo. 0065 fecha la primera instalación del dispositivo en ese equipo, 0066 la conexión más reciente y 0067 la extracción más reciente. Existen tanto en el nodo USB como en el nodo USBSTOR, así que puedes contrastar uno con otro.

Sus límites importan tanto como sus valores:

Solo guardan la última conexión y la última extracción. Las conexiones anteriores deben salir de los registros de eventos.
Desinstalar el dispositivo borra la clave de instancia y sus propiedades; la siguiente conexión empieza de cero. Una sección de setupapi.dev.log anterior a 0065 suele significar exactamente eso.
Algunas guías publicadas intercambian 0064 y 0065. La referencia son las definiciones de devpkey.h.
Windows 7 usaba una estructura más profunda, con un valor Data bajo 00000065\00000000.

Ejemplo

Enum\USBSTOR\Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00\CS1234567890&0\
  Properties\{83da6326-97a6-4088-9453-a1923f573b29}\
    0064  (Default)  2026-09-14 10:30:14 UTC   InstallDate
    0065  (Default)  2026-09-14 10:30:14 UTC   FirstInstallDate
    0066  (Default)  2026-09-14 10:30:15 UTC   LastArrivalDate
    0067  (Default)  2026-09-14 10:50:40 UTC   LastRemovalDate

Aquí la instalación y la primera instalación coinciden, así que el dispositivo se instaló una sola vez. La conexión más reciente en Partition/Diagnostic 1006 debería coincidir con 0066; si no, anota la diferencia en lugar de elegir una fuente.

Términos relacionados

USBSTOR: las claves de instancia que llevan estas propiedades.
ID de instancia de dispositivo: la ruta de clave bajo la que se guardan.
Evento 1006 de Partition/Diagnostic: cada conexión, no solo la última.

USB Forensics lee los cuatro valores y los sitúa en una misma línea de tiempo junto a setupapi.dev.log y los registros de eventos. Los detalles están en el análisis forense de USBSTOR y en setupapi.dev.log para USB.