ContainerID

Un ContainerID est un GUID que Windows attribue à tous les nœuds de périphérique qui appartiennent au même périphérique physique. Une clé USB apparaît sous la forme de plusieurs nœuds dans la ruche SYSTEM : le périphérique USB sous ControlSet00x\Enum\USB\VID_…&PID_…, le disque sous Enum\USBSTOR et une vue « appareil portable » de son volume sous Enum\SWD\WPDBUSENUM. Chacune de ces clés d’instance possède une valeur chaîne ContainerID, et pour un même périphérique physique, toutes contiennent le même GUID.

Pourquoi c’est important en investigation

La plupart du temps, le numéro de série suffit à aligner les entrées USB et USBSTOR, puisque les deux noms d’instance le contiennent. Le ContainerID est le lien qui tient encore lorsque ce n’est pas le cas. Le cas typique est un périphérique doté d’un numéro de série généré par Windows : le nœud USB et le nœud USBSTOR reçoivent alors des identifiants d’instance inventés et différents, et seul le ContainerID commun indique qu’il s’agit du même lecteur ou de la même clé.

Il permet aussi de distinguer le stockage de tout le reste sous Enum\USB. Les concentrateurs, souris, claviers et webcams s’y trouvent également ; une entrée USB dont le ContainerID correspond à une entrée USBSTOR est le côté USB d’un périphérique de stockage, avec ses identifiants de fabricant et de produit.

Une précaution : les périphériques internes et racine partagent un conteneur nul, {00000000-0000-0000-ffff-ffffffffffff} (parfois entièrement à zéro). Il faut ignorer cette valeur, sans quoi des concentrateurs et contrôleurs sans rapport seraient fusionnés en un seul « périphérique ».

Exemple

Enum\USB\VID_3F10&PID_4C21\CS1234567890
    ContainerID = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}
Enum\USBSTOR\Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00\CS1234567890&0
    ContainerID = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}
Enum\SWD\WPDBUSENUM\_??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}
    ContainerID  = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}
    FriendlyName = BACKUP

Trois nœuds, un seul GUID : une seule clé Contoso, dont le volume porte le nom BACKUP. Le nœud USB apporte les identifiants de fabricant et de produit, le nœud USBSTOR le modèle et les horodatages de propriétés, le nœud WPDBUSENUM le nom de volume.

Termes associés

• USBSTOR : le nœud côté disque auquel le ContainerID renvoie.
• ID d’instance de périphérique : le nom de chaque nœud, qui contient normalement le numéro de série.
• WPDBUSENUM : le nœud côté volume, avec le nom de volume.
• Numéro de série généré par Windows : le cas où le ContainerID est le seul lien.

USB Forensics regroupe les nœuds de périphérique par numéro de série et par ContainerID dans votre navigateur, et affiche la clé de registre derrière chaque lien. Pour la structure complète du registre, lisez l’analyse forensique de USBSTOR.