USBSTOR

USBSTOR es la clave ControlSet00x\Enum\USBSTOR del hive SYSTEM, donde Windows guarda una entrada por cada dispositivo de almacenamiento masivo USB que ha instalado. Contiene una clave de clase por modelo, que codifica el tipo de dispositivo, el fabricante, el producto y la revisión que informa el dispositivo, como Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00 (los guiones bajos sustituyen a los espacios). Bajo cada clave de clase, una clave de instancia por dispositivo lleva su número de serie, un & y un número de unidad lógica: CS1234567890&0.

Por qué importa en una investigación

USBSTOR es el inventario: responde a qué dispositivos de almacenamiento se instalaron alguna vez en ese equipo. Cada clave de instancia contiene un FriendlyName (lo que muestra el Administrador de dispositivos), un ContainerID que la vincula con el nodo Enum\USB correspondiente y una subclave Properties con las marcas de tiempo de propiedades del dispositivo: instalación, primera instalación, última conexión y última extracción.

El número de serie del nombre de instancia es la primera clave de correlación con setupapi.dev.log, los registros de eventos, MountedDevices y EMDMgmt. Antes de fiarte de él, revisa el segundo carácter: si es &, se trata de un número de serie generado por Windows que solo tiene sentido en ese equipo. Los lectores de tarjetas con varias ranuras pueden mostrar varias instancias con &0, &1, etc., una por unidad lógica.

Lo que USBSTOR no dice: quién usó el dispositivo ni qué se hizo con él. Para eso hacen falta los artefactos de cada usuario. Lee el conjunto de control indicado por Select\Current; los demás pueden contener copias más antiguas. Desinstalar un dispositivo elimina su clave por completo.

Ejemplo

SYSTEM\ControlSet001\Enum\USBSTOR\Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00\CS1234567890&0
    FriendlyName = Contoso SecureFlash USB Device
    ContainerID  = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}
    Properties\{83da6326-97a6-4088-9453-a1923f573b29}\0064 … 0067

Fabricante Contoso, producto SecureFlash, revisión 1.00, número de serie CS1234567890, unidad lógica 0.

Términos relacionados

• ID de instancia de dispositivo: el esquema de nombres de la clave de instancia.
• ContainerID: el vínculo con Enum\USB y WPDBUSENUM.
• Marcas de tiempo de propiedades del dispositivo: las fechas bajo Properties.
• MountedDevices: la letra de unidad y el GUID de volumen del mismo número de serie.

USB Forensics lee USBSTOR del hive SYSTEM y crea una ficha por dispositivo. Los detalles están en el análisis forense de USBSTOR.