Glosario
EMDMgmt
Clave del hive SOFTWARE escrita por ReadyBoost que empareja el número de serie de un dispositivo USB con su etiqueta y el número de serie del volumen.
EMDMgmt es una clave del hive SOFTWARE, SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt, escrita por ReadyBoost. Cuando Windows evalúa un volumen extraíble como posible caché de ReadyBoost, crea una subclave para ese volumen. El nombre de la subclave es la ruta de dispositivo del disco, seguida de la etiqueta de volumen, un guion bajo y el número de serie del volumen en decimal.
Por qué importa en una investigación
EMDMgmt es uno de los pocos lugares del registro que pone juntos un número de serie de dispositivo y un número de serie de volumen. El número de serie del volumen es lo que los accesos directos y las Jump Lists registran para los archivos a los que apuntan, así que una entrada de EMDMgmt puede vincular un archivo abierto en E: con una memoria física concreta, incluso después de que otro dispositivo reutilizara la letra de unidad.
También conserva historial. Un dispositivo reformateado recibe un nuevo número de serie de volumen, y a menudo una nueva etiqueta, de modo que la misma ruta de dispositivo puede aparecer en varias subclaves: una por cada volumen que evaluó ReadyBoost. Dos entradas con el mismo número de serie y distintos números de serie de volumen son un indicio sólido de reformateo.
Sus límites:
- Suele faltar en sistemas que arrancan desde un SSD, donde ReadyBoost no se utiliza.
- La hora de última escritura de la subclave solo aproxima cuándo se evaluó el volumen por última vez.
- La etiqueta puede estar vacía o contener guiones bajos; el número de serie del volumen siempre va después del último guion bajo.
Ejemplo
SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\
_??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}BACKUP_1016943010
Leyendo desde el final: 1016943010 en decimal es 0x3C9D51A2, que Windows muestra como 3C9D-51A2; la etiqueta es BACKUP; el número de serie en la ruta del dispositivo es CS1234567890. Por tanto, un acceso directo cuyo VolumeID contenga el número 3C9D-51A2 apunta a un archivo que estaba en esta memoria Contoso.
Términos relacionados
- Número de serie del volumen (VSN): el valor que se decodifica del nombre de la subclave.
- ID de instancia de dispositivo: la ruta de dispositivo al principio del nombre.
- Evento 1006 de Partition/Diagnostic: la otra fuente del número de serie del volumen de un dispositivo.
- WPDBUSENUM: otro lugar del registro que conserva la etiqueta de volumen.
USB Forensics decodifica cada entrada de EMDMgmt y la vincula con el dispositivo y con los accesos directos correspondientes. Consulta qué archivos se abrieron desde una memoria USB para ver cómo se usa ese número.