WPDBUSENUM

WPDBUSENUM es el enumerador de Windows Portable Devices. Cuando se monta un volumen extraíble, Windows crea para él un nodo de dispositivo de software bajo SYSTEM\ControlSet00x\Enum\SWD\WPDBUSENUM, normalmente con el nombre de la ruta de dispositivo del disco (_??_USBSTOR#Disk&Ven_…#<serial>&0#{53f56307-…}). Aparece una clave correspondiente en el hive SOFTWARE bajo Microsoft\Windows Portable Devices\Devices, llamada SWD#WPDBUSENUM#_??_USBSTOR#… en mayúsculas. En ambos lugares, el valor FriendlyName es la etiqueta de volumen, o la letra de unidad (por ejemplo E:\) cuando el volumen no tiene etiqueta.

Por qué importa en una investigación

WPDBUSENUM es uno de los pocos lugares del registro que conserva una etiqueta de volumen. La etiqueta corrobora otras fuentes: EMDMgmt, el campo VolumeLabel de los accesos directos y las Jump Lists, y los registros de arranque que guarda Partition/Diagnostic 1006. Cuando falta la etiqueta, la letra de unidad que ocupa su lugar sigue ayudando a atribuir artefactos a nivel de carpeta, como las ShellBags.

El nodo de SYSTEM lleva un ContainerID que lo vincula con los nodos USBSTOR y USB correspondientes, incluso cuando los nombres difieren. La clave de SOFTWARE tiene una hora de última escritura que da una idea aproximada de cuándo actualizó Windows la entrada por última vez.

Las entradas cuyo nombre no apunta a una ruta de USBSTOR son dispositivos portátiles y no volúmenes de almacenamiento masivo, por ejemplo algunos teléfonos y cámaras. Muestran que se conectó un dispositivo, no que se montara un sistema de archivos.

Ejemplo

SYSTEM\ControlSet001\Enum\SWD\WPDBUSENUM\
  _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}
      FriendlyName = BACKUP
      ContainerID  = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}

SOFTWARE\Microsoft\Windows Portable Devices\Devices\
  SWD#WPDBUSENUM#_??_USBSTOR#DISK&VEN_CONTOSO&PROD_SECUREFLASH&REV_1.00#CS1234567890&0#{53F56307-…}
      FriendlyName = BACKUP

El número de serie CS1234567890 tenía un volumen con la etiqueta BACKUP.

Términos relacionados

• ContainerID: el vínculo con los nodos USB y USBSTOR.
• USBSTOR: la entrada del lado del disco para el mismo número de serie.
• EMDMgmt: otra fuente de etiquetas, con el número de serie del volumen.
• ID de instancia de dispositivo: la ruta de dispositivo incluida en el nombre de la clave.

USB Forensics lee ambas claves y añade etiquetas y letras a cada dispositivo. El mapa completo de artefactos USB muestra cómo encajan con las demás fuentes.