Glosario
MountPoints2
Clave de NTUSER.DAT que lista los volúmenes montados en la sesión de un usuario por GUID de volumen: el vínculo entre un dispositivo USB y una cuenta.
MountPoints2 es una clave del NTUSER.DAT de cada usuario, Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2, que lista los volúmenes montados mientras ese usuario tenía la sesión iniciada. Cada volumen recibe una subclave con el nombre de su GUID de volumen, por ejemplo {7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}. También aparecen los recursos compartidos de red, con nombres como ##server#share.
Por qué importa en una investigación
Los artefactos USB de todo el sistema (USBSTOR, MountedDevices, setupapi.dev.log, los registros de eventos) nunca nombran una cuenta. MountPoints2 sí, porque está en el hive propio de un usuario: si un GUID de volumen aparece ahí, ese volumen se montó durante la sesión de ese usuario. Cruza el GUID con MountedDevices para obtener la ruta de dispositivo y el número de serie, y tendrás un vínculo en el registro entre un dispositivo físico y una cuenta.
La hora de última escritura de la subclave se aproxima a la última vez que ese usuario montó el volumen. Es una única marca de tiempo, no un historial, y conviene confirmarla con los accesos directos, las Jump Lists o las ShellBags del usuario.
Aspectos prácticos:
- Recopila el NTUSER.DAT de todos los perfiles.
reg savesolo llega a los usuarios con sesión iniciada; KAPE, Velociraptor o una imagen llegan a los demás. - Un GUID sin coincidencia en MountedDevices no puede resolverse a un dispositivo solo con el registro.
- El mismo dispositivo puede aparecer en los hives de varios usuarios; cada uno es una prueba independiente.
Ejemplo
C:\Users\svc_backup\NTUSER.DAT
Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\
{7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963} última escritura 2026-09-14 10:30:21 UTC
SYSTEM\MountedDevices
\??\Volume{7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}
_??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-…}
La cuenta svc_backup montó la memoria Contoso con número de serie CS1234567890, por última vez hacia las 10:30 UTC.
Términos relacionados
- GUID de volumen: los nombres de las subclaves.
- MountedDevices: donde el GUID se resuelve a un dispositivo.
- Número de serie del volumen (VSN): el vínculo entre los accesos directos del usuario y el mismo dispositivo.
USB Forensics lee todos los hives de usuario de una recopilación y nombra las cuentas en la ficha de cada dispositivo. Consulta qué archivos se abrieron desde una memoria USB para los demás artefactos por usuario.