EMDMgmt

EMDMgmt est une clé de la ruche SOFTWARE, SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt, écrite par ReadyBoost. Lorsque Windows évalue un volume amovible comme cache ReadyBoost potentiel, il crée une sous-clé pour ce volume. Le nom de la sous-clé est le chemin de périphérique du disque, suivi du nom de volume, d’un trait de soulignement et du numéro de série de volume en décimal.

Pourquoi c’est important en investigation

EMDMgmt est l’un des rares emplacements du registre qui place côte à côte un numéro de série de périphérique et un numéro de série de volume. Le numéro de série de volume est ce que les raccourcis et les Jump Lists enregistrent pour les fichiers qu’ils désignent : une entrée EMDMgmt peut donc relier un fichier ouvert sur E: à une clé physique précise, même après la réutilisation de la lettre de lecteur par un autre périphérique.

Elle conserve aussi un historique. Un périphérique reformaté reçoit un nouveau numéro de série de volume, et souvent un nouveau nom, si bien que le même chemin de périphérique peut apparaître dans plusieurs sous-clés : une par volume évalué par ReadyBoost. Deux entrées avec le même numéro de série et des numéros de série de volume différents sont un indice fort de reformatage.

Ses limites :

• Elle est souvent absente sur les systèmes qui démarrent sur un SSD, où ReadyBoost n’est pas utilisé.
• L’heure de dernière écriture de la sous-clé n’indique qu’approximativement la dernière évaluation du volume.
• Le nom de volume peut être vide ou contenir des traits de soulignement ; le numéro de série de volume se trouve toujours après le dernier trait de soulignement.

Exemple

SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt\
  _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}BACKUP_1016943010

En lisant depuis la fin : 1016943010 en décimal vaut 0x3C9D51A2, que Windows affiche 3C9D-51A2 ; le nom de volume est BACKUP ; le numéro de série dans le chemin est CS1234567890. Un raccourci dont le VolumeID contient le numéro 3C9D-51A2 désigne donc un fichier qui se trouvait sur cette clé Contoso.

Termes associés

• Numéro de série de volume (VSN) : la valeur décodée depuis le nom de la sous-clé.
• ID d’instance de périphérique : le chemin de périphérique au début du nom.
• Événement Partition/Diagnostic 1006 : l’autre source du numéro de série de volume d’un périphérique.
• WPDBUSENUM : un autre emplacement du registre qui conserve le nom de volume.

USB Forensics décode chaque entrée EMDMgmt et la relie au périphérique et aux raccourcis correspondants. Voir quels fichiers ont été ouverts depuis une clé USB pour l’usage de ce numéro.