Glosario
Número de serie generado por Windows
ID de instancia USB que Windows genera cuando el dispositivo no informa un número de serie utilizable; se reconoce por un & en segunda posición.
Un número de serie generado por Windows es un ID de instancia que Windows inventa cuando un dispositivo USB no informa un número de serie utilizable. Se supone que los dispositivos USB declaran un número de serie único en su descriptor, y Windows normalmente lo usa como ID de instancia bajo SYSTEM\ControlSet00x\Enum\USB y Enum\USBSTOR. Muchos lectores de tarjetas baratos y algunas memorias no declaran ninguno, o uno que Windows no considera único. Windows construye entonces un ID a partir de la posición del dispositivo en el árbol USB, como 7&1f2e3d4c&0. La señal es un & en segunda posición.
Por qué importa en una investigación
Un ID generado parece un número de serie, pero no se comporta como tal:
- Es único solo en ese equipo. No está impreso en el dispositivo y no coincidirá con el mismo dispositivo en otra máquina.
- Depende de la ruta de puerto y concentrador, así que el mismo dispositivo conectado a otro puerto puede aparecer como una segunda entrada.
- El nodo USB y el nodo USBSTOR reciben ID generados distintos, por lo que falla el cruce habitual por número de serie. El ContainerID es entonces el único vínculo entre ellos.
No presentes ese valor como «el número de serie del dispositivo». Identifica el dispositivo por fabricante y producto, capacidad, número de serie del volumen, etiqueta de volumen y horas de conexión, e indica que el ID de instancia lo generó Windows.
Ejemplo
Enum\USB\VID_1E4F&PID_0726\5&2a9c1d77&0&3
ContainerID = {c3d9e1f0-2b4a-4c6d-8e7f-1a2b3c4d5e6f}
Enum\USBSTOR\Disk&Ven_Litware&Prod_Card_Reader_SD&Rev_1.00\7&1f2e3d4c&0
ContainerID = {c3d9e1f0-2b4a-4c6d-8e7f-1a2b3c4d5e6f}
Ambos ID de instancia tienen & como segundo carácter y son distintos entre sí. Solo el ContainerID compartido muestra que se trata de un mismo lector de tarjetas.
Términos relacionados
- ID de instancia de dispositivo: la estructura que sustituye el ID generado.
- USBSTOR: donde más se notan los ID generados.
- ContainerID: el vínculo que sigue funcionando.
- Número de serie del volumen (VSN): un identificador que viaja con el soporte.
USB Forensics marca los números de serie generados en la ficha de cada dispositivo. Más detalles en el análisis forense de USBSTOR, y un caso práctico en la investigación de una exfiltración por USB.