Skip to content
USBForensics

Glosario

MountedDevices

Clave del hive SYSTEM que asocia las letras de unidad y los GUID de volumen con el disco o dispositivo al que pertenece cada volumen.

MountedDevices es una clave en la raíz del hive SYSTEM, SYSTEM\MountedDevices, donde el administrador de montaje de Windows registra a qué volumen pertenece cada letra de unidad y cada GUID de volumen. Tiene dos tipos de valores: \DosDevices\E: para las letras de unidad y \??\Volume{GUID} para los GUID de volumen. Los datos binarios identifican el volumen: en un medio extraíble, una ruta de dispositivo en UTF-16 como _??_USBSTOR#Disk&Ven_…#<serial>&0#{53f56307-…}; en un disco fijo MBR, una firma de disco y un desplazamiento de partición de 12 bytes; en un disco GPT, DMIO:ID: seguido del GUID de la partición.

Por qué importa en una investigación

MountedDevices es el puente entre el dispositivo y el usuario. Los valores con datos idénticos describen el mismo volumen, así que al agruparlos un dispositivo USB obtiene su letra de unidad y su GUID de volumen. El GUID de volumen lleva luego al MountPoints2 de cada usuario, y la letra de unidad ayuda a atribuir ShellBags y otros artefactos de usuario que solo conocen una letra.

Dos precauciones:

  • Solo el último dispositivo que recibió una letra conserva su valor \DosDevices. Una memoria que fue E: pierde ese valor cuando otro dispositivo recibe E:, mientras que su valor de GUID de volumen suele permanecer. Una letra aquí no dice nada de conexiones anteriores.
  • La clave no tiene marca de tiempo por valor. La hora de última escritura de la clave solo indica cuándo cambió algún valor por última vez.

Ejemplo

SYSTEM\MountedDevices
  \??\Volume{7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}
      _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}
  \DosDevices\E:
      _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}
  \DosDevices\C:
      12 bytes: firma de disco MBR + desplazamiento de partición

Los dos valores de Contoso llevan la misma ruta de dispositivo: el número de serie CS1234567890 se montó por última vez como E:, con el GUID de volumen {7d3f8a2c-…}. C: es un disco interno, identificado por su firma y no por un número de serie.

Términos relacionados

USB Forensics agrupa los valores de MountedDevices por sus datos y añade la letra y el GUID a la ficha de cada dispositivo. El mapa completo de artefactos USB muestra dónde encaja esta clave.