Número de serie del volumen (VSN)

Un número de serie del volumen (VSN) es un valor de 32 bits que se escribe en el sector de arranque de un volumen al formatearlo. Windows lo muestra como dos grupos de cuatro dígitos hexadecimales, por ejemplo 3C9D-51A2, en la salida de vol y dir. Su posición depende del sistema de archivos: desplazamiento 0x43 en FAT32, 0x27 en FAT12/16, 0x64 en exFAT y 0x48 en NTFS, donde el campo ocupa 8 bytes y Windows muestra los 4 inferiores. Los bytes se guardan en little-endian.

Por qué importa en una investigación

El VSN es el identificador que vincula archivos con un dispositivo físico. Cuando un usuario abre un archivo, el acceso directo que escribe Windows registra el VolumeID del volumen en el que estaba: tipo de unidad, etiqueta y VSN. Las Jump Lists incluyen la misma estructura. Si ese VSN coincide con el decodificado del registro de arranque del dispositivo en Partition/Diagnostic 1006, o con el de EMDMgmt, el archivo estaba en ese dispositivo, aunque otra memoria recibiera después la misma letra de unidad.

Ten en cuenta lo que no es:

• Pertenece al volumen, no al hardware. Reformatear escribe un nuevo VSN, así que un dispositivo puede tener varios a lo largo de su vida. Dos VSN para el mismo dispositivo significan que se reformateó, y los archivos abiertos con cualquiera de ellos pertenecen a la misma memoria.
• Puede cambiarse con utilidades de disco, así que trátalo como una prueba sólida, pero no infalsificable.
• Dos volúmenes sin relación pueden, raramente, compartir un VSN; confírmalo con la etiqueta y las horas.

Ejemplo

sector de arranque exFAT, desplazamiento 0x64:  A2 51 9D 3C
valor de 32 bits little-endian:                 0x3C9D51A2
mostrado por Windows:                           3C9D-51A2
en EMDMgmt (decimal):                           …BACKUP_1016943010
en el VolumeID de un acceso directo:            DriveType 2 (extraíble), Label BACKUP, Serial 3C9D-51A2

Cuatro fuentes, un solo valor: el registro de arranque, EMDMgmt y el acceso directo apuntan al mismo volumen.

Términos relacionados

• Evento 1006 de Partition/Diagnostic: registra el sector de arranque del que se lee el VSN.
• EMDMgmt: empareja el número de serie de un dispositivo con su VSN.
• GUID de volumen: otro identificador, asignado por Windows y no por el sistema de archivos.
• MountPoints2: el otro vínculo, por usuario, con un dispositivo.

USB Forensics extrae los VSN de registros de arranque, EMDMgmt, accesos directos y Jump Lists, y los cruza. Lee Partition/Diagnostic 1006 para los detalles de la decodificación.