Skip to content
USBForensics

Glossaire

MountedDevices

La clé de la ruche SYSTEM qui associe les lettres de lecteur et les GUID de volume au disque ou au périphérique auquel appartient chaque volume.

MountedDevices est une clé à la racine de la ruche SYSTEM, SYSTEM\MountedDevices, où le gestionnaire de montage de Windows enregistre à quel volume appartiennent chaque lettre de lecteur et chaque GUID de volume. Elle contient deux types de valeurs : \DosDevices\E: pour les lettres de lecteur et \??\Volume{GUID} pour les GUID de volume. Les données binaires identifient le volume : pour un support amovible, un chemin de périphérique en UTF-16 comme _??_USBSTOR#Disk&Ven_…#<serial>&0#{53f56307-…} ; pour un disque fixe MBR, une signature de disque et un décalage de partition sur 12 octets ; pour un disque GPT, DMIO:ID: suivi du GUID de partition.

Pourquoi c’est important en investigation

MountedDevices fait le pont entre le périphérique et l’utilisateur. Les valeurs dont les données sont identiques décrivent le même volume : les regrouper donne à un périphérique USB sa lettre de lecteur et son GUID de volume. Le GUID de volume mène ensuite au MountPoints2 de chaque utilisateur, et la lettre de lecteur aide à attribuer les ShellBags et les autres artefacts utilisateur qui ne connaissent qu’une lettre.

Deux précautions :

  • Seul le dernier périphérique ayant reçu une lettre conserve sa valeur \DosDevices. Une clé qui a été E: perd cette valeur quand un autre périphérique reçoit E:, alors que sa valeur de GUID de volume reste généralement. Une lettre ici ne dit rien des connexions antérieures.
  • La clé n’a pas d’horodatage par valeur. L’heure de dernière écriture de la clé indique seulement quand une valeur a changé pour la dernière fois.

Exemple

SYSTEM\MountedDevices
  \??\Volume{7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}
      _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}
  \DosDevices\E:
      _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}
  \DosDevices\C:
      12 octets : signature de disque MBR + décalage de partition

Les deux valeurs Contoso portent le même chemin de périphérique : le numéro de série CS1234567890 a été monté en dernier sous E:, avec le GUID de volume {7d3f8a2c-…}. C: est un disque interne, identifié par sa signature et non par un numéro de série.

Termes associés

USB Forensics regroupe les valeurs de MountedDevices par données et ajoute la lettre et le GUID à la fiche de chaque périphérique. La carte complète des artefacts USB situe cette clé parmi les autres sources.