MountPoints2

Clave de NTUSER.DAT que lista los volúmenes montados en la sesión de un usuario por GUID de volumen: el vínculo entre un dispositivo USB y una cuenta.

NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 tiene una subclave por cada volumen que vio la sesión del usuario, con el nombre de su GUID de volumen ({7d3f8a2c-…}), además de los recursos compartidos de red (##server#share).

Cruza el GUID con MountedDevices para encontrar el dispositivo. La hora LastWrite de la subclave se aproxima a la última vez que ese usuario montó el volumen. Consulta qué archivos se abrieron desde una memoria USB.