Glosario
GUID de volumen
Identificador que Windows asigna a cada volumen que monta, como en \\?\Volume{…}; vincula MountedDevices con el MountPoints2 de cada usuario.
Un GUID de volumen es el identificador que el administrador de montaje de Windows asigna a cada volumen que monta, con la forma \\?\Volume{GUID}\. Las letras de unidad son solo alias prácticos; el GUID de volumen es el nombre que Windows usa internamente. Se registra como valor \??\Volume{GUID} en SYSTEM\MountedDevices, cuyos datos identifican el dispositivo o la partición, y como nombre de subclave bajo el MountPoints2 de cada usuario en NTUSER.DAT.
Por qué importa en una investigación
El GUID de volumen es la clave que indica qué cuenta montó qué dispositivo. MountedDevices asocia el GUID con una ruta de dispositivo que contiene un número de serie; MountPoints2 lista los GUID vistos en la sesión de cada usuario. Al cruzar ambos, una memoria USB queda vinculada a un usuario sin depender de las letras de unidad, que Windows reutiliza libremente.
Algunas propiedades que conviene conocer:
- El GUID es estable para un dispositivo y una partición concretos en un equipo concreto, así que las conexiones repetidas de la misma memoria normalmente lo reutilizan.
- Se genera por equipo. La misma memoria recibe otro GUID de volumen en otra máquina, por lo que no sirve para relacionar dispositivos entre sistemas; para eso usa el número de serie o el número de serie del volumen.
- Los GUID de volúmenes extraíbles suelen terminar en
806e6f6e6963, lo que ayuda a localizarlos en una lista larga.
Ejemplo
SYSTEM\MountedDevices
\??\Volume{7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963} = _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-…}
NTUSER.DAT (svc_backup)
…\Explorer\MountPoints2\{7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}
El mismo GUID en ambos lugares: la memoria Contoso se montó en la sesión de svc_backup. En un sistema en ejecución, mountvol lista las rutas de GUID de volumen que conoce el administrador de montaje.
Términos relacionados
- MountedDevices: la asociación, a nivel de sistema, entre GUID y dispositivos.
- MountPoints2: la lista de GUID de cada usuario.
- ID de instancia de dispositivo: la ruta de dispositivo guardada junto al GUID.
- Número de serie del volumen (VSN): otro identificador, escrito en el sistema de archivos.
USB Forensics resuelve los GUID de volumen a dispositivos y nombra a los usuarios que los montaron. Consulta qué archivos se abrieron desde una memoria USB para el resto de artefactos por usuario.