USBSTOR

USBSTOR est la clé ControlSet00x\Enum\USBSTOR de la ruche SYSTEM, où Windows conserve une entrée pour chaque périphérique de stockage de masse USB qu’il a installé. On y trouve une clé de classe par modèle, qui encode le type de périphérique, le fabricant, le produit et la révision déclarés par le périphérique, par exemple Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00 (les traits de soulignement remplacent les espaces). Sous chaque clé de classe, une clé d’instance par périphérique porte son numéro de série, un & et un numéro d’unité logique : CS1234567890&0.

Pourquoi c’est important en investigation

USBSTOR est l’inventaire : il indique quels périphériques de stockage ont été installés sur cet ordinateur. Chaque clé d’instance contient un FriendlyName (ce qu’affiche le Gestionnaire de périphériques), un ContainerID qui la relie au nœud Enum\USB correspondant, et une sous-clé Properties avec les horodatages des propriétés de périphérique : installation, première installation, dernière arrivée et dernier retrait.

Le numéro de série du nom d’instance est la première clé de corrélation avec setupapi.dev.log, les journaux d’événements, MountedDevices et EMDMgmt. Avant de s’y fier, vérifiez le deuxième caractère : si c’est &, il s’agit d’un numéro de série généré par Windows, qui n’a de sens que sur cet ordinateur. Les lecteurs de cartes à plusieurs emplacements peuvent présenter plusieurs instances en &0, &1, etc., une par unité logique.

Ce que USBSTOR ne dit pas : qui a utilisé le périphérique, ni ce qui a été fait dessus. Pour cela, il faut les artefacts propres à chaque utilisateur. Lisez le jeu de contrôle désigné par Select\Current ; les autres peuvent contenir des copies plus anciennes. Désinstaller un périphérique supprime entièrement sa clé.

Exemple

SYSTEM\ControlSet001\Enum\USBSTOR\Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00\CS1234567890&0
    FriendlyName = Contoso SecureFlash USB Device
    ContainerID  = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}
    Properties\{83da6326-97a6-4088-9453-a1923f573b29}\0064 … 0067

Fabricant Contoso, produit SecureFlash, révision 1.00, numéro de série CS1234567890, unité logique 0.

Termes associés

• ID d’instance de périphérique : la convention de nommage de la clé d’instance.
• ContainerID : le lien vers Enum\USB et WPDBUSENUM.
• Horodatages des propriétés de périphérique : les dates sous Properties.
• MountedDevices : la lettre de lecteur et le GUID de volume du même numéro de série.

USB Forensics lit USBSTOR dans la ruche SYSTEM et crée une fiche par périphérique. Les détails sont dans l’analyse forensique de USBSTOR.