MountPoints2

MountPoints2 est une clé du NTUSER.DAT de chaque utilisateur, Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2, qui liste les volumes montés pendant que cet utilisateur était connecté. Chaque volume reçoit une sous-clé nommée d’après son GUID de volume, par exemple {7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}. Les partages réseau y figurent aussi, sous des noms comme ##server#share.

Pourquoi c’est important en investigation

Les artefacts USB à l’échelle du système (USBSTOR, MountedDevices, setupapi.dev.log, les journaux d’événements) ne nomment jamais de compte. MountPoints2 le fait, parce qu’il se trouve dans la ruche propre à un utilisateur : si un GUID de volume y figure, ce volume a été monté pendant la session de cet utilisateur. Rapprochez le GUID de MountedDevices pour obtenir le chemin de périphérique et le numéro de série, et vous tenez un lien, dans le registre, entre un périphérique physique et un compte.

L’heure de dernière écriture de la sous-clé donne une approximation de la dernière fois où cet utilisateur a monté le volume. C’est un horodatage unique, pas un historique, à confirmer par les raccourcis, les Jump Lists ou les ShellBags de l’utilisateur.

Points pratiques :

• Collectez le NTUSER.DAT de tous les profils. reg save n’atteint que les utilisateurs connectés ; KAPE, Velociraptor ou une image atteignent les autres.
• Un GUID sans correspondance dans MountedDevices ne peut pas être rattaché à un périphérique à partir du seul registre.
• Le même périphérique peut apparaître dans les ruches de plusieurs utilisateurs ; chacune constitue un élément de preuve distinct.

Exemple

C:\Users\svc_backup\NTUSER.DAT
  Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\
    {7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}      dernière écriture 2026-09-14 10:30:21 UTC

SYSTEM\MountedDevices
  \??\Volume{7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}
      _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-…}

Le compte svc_backup a monté la clé Contoso de numéro de série CS1234567890, pour la dernière fois vers 10 h 30 UTC.

Termes associés

• GUID de volume : les noms des sous-clés.
• MountedDevices : là où le GUID est rattaché à un périphérique.
• Numéro de série de volume (VSN) : le lien entre les raccourcis de l’utilisateur et le même périphérique.

USB Forensics lit toutes les ruches utilisateur d’une collecte et nomme les comptes sur la fiche de chaque périphérique. Voir quels fichiers ont été ouverts depuis une clé USB pour les autres artefacts par utilisateur.