Horodatages des propriétés de périphérique (0064

Les horodatages des propriétés de périphérique sont quatre valeurs FILETIME que Windows 8 et versions ultérieures stockent sous la clé d’instance de chaque périphérique, dans SYSTEM\ControlSet00x\Enum\<enumerator>\<device>\<instance>\Properties\{83da6326-97a6-4088-9453-a1923f573b29}. Il s’agit des identifiants de propriété 100 à 103 de ce GUID dans le fichier devpkey.h de Windows, stockés sous forme de sous-clés nommées en hexadécimal : 0064 InstallDate, 0065 FirstInstallDate, 0066 LastArrivalDate et 0067 LastRemovalDate. Chacun est la valeur par défaut de sa sous-clé, de type 0xFFFF0010 (une propriété de périphérique FILETIME), en UTC.

Pourquoi c’est important en investigation

C’est la réponse du registre à la question quand. 0065 date la première installation du périphérique sur cet ordinateur, 0066 la connexion la plus récente et 0067 le retrait le plus récent. Ils existent aussi bien sur le nœud USB que sur le nœud USBSTOR, ce qui permet de vérifier l’un par l’autre.

Leurs limites comptent autant que leurs valeurs :

Ils ne conservent que la dernière arrivée et le dernier retrait. Les connexions antérieures doivent venir des journaux d’événements.
Désinstaller le périphérique supprime la clé d’instance et ses propriétés ; la connexion suivante repart de zéro. Une section de setupapi.dev.log plus ancienne que 0065 signifie généralement exactement cela.
Certains guides publiés inversent 0064 et 0065. Les définitions de devpkey.h font référence.
Windows 7 utilisait une structure plus profonde, avec une valeur Data sous 00000065\00000000.

Exemple

Enum\USBSTOR\Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00\CS1234567890&0\
  Properties\{83da6326-97a6-4088-9453-a1923f573b29}\
    0064  (Default)  2026-09-14 10:30:14 UTC   InstallDate
    0065  (Default)  2026-09-14 10:30:14 UTC   FirstInstallDate
    0066  (Default)  2026-09-14 10:30:15 UTC   LastArrivalDate
    0067  (Default)  2026-09-14 10:50:40 UTC   LastRemovalDate

Ici, installation et première installation sont identiques : le périphérique n’a été installé qu’une fois. L’arrivée la plus récente dans Partition/Diagnostic 1006 devrait correspondre à 0066 ; sinon, notez l’écart plutôt que de choisir une source.

Termes associés

USBSTOR : les clés d’instance qui portent ces propriétés.
ID d’instance de périphérique : le chemin de clé sous lequel elles sont stockées.
Événement Partition/Diagnostic 1006 : chaque arrivée, pas seulement la dernière.

USB Forensics lit les quatre valeurs et les place sur une même chronologie, à côté de setupapi.dev.log et des journaux d’événements. Les détails sont dans l’analyse forensique de USBSTOR et setupapi.dev.log pour l’USB.