Glossaire
MountPoints2
La clé de NTUSER.DAT qui liste, par GUID de volume, les volumes montés dans la session d’un utilisateur : le lien entre un périphérique USB et un compte.
NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 contient une sous-clé par volume vu dans la session de l’utilisateur, nommée d’après son GUID de volume ({7d3f8a2c-…}), ainsi que les partages réseau (##server#share).
Rapprochez le GUID de MountedDevices pour retrouver le périphérique. L’heure LastWrite de la sous-clé donne une approximation de la dernière fois où cet utilisateur a monté le volume. Voir quels fichiers ont été ouverts depuis une clé USB.