WPDBUSENUM

WPDBUSENUM est l’énumérateur Windows Portable Devices. Lorsqu’un volume amovible est monté, Windows crée pour lui un nœud de périphérique logiciel sous SYSTEM\ControlSet00x\Enum\SWD\WPDBUSENUM, généralement nommé d’après le chemin de périphérique du disque (_??_USBSTOR#Disk&Ven_…#<serial>&0#{53f56307-…}). Une clé correspondante apparaît dans la ruche SOFTWARE sous Microsoft\Windows Portable Devices\Devices, nommée SWD#WPDBUSENUM#_??_USBSTOR#… en majuscules. Aux deux endroits, la valeur FriendlyName est le nom de volume, ou la lettre de lecteur (par exemple E:\) lorsque le volume n’a pas de nom.

Pourquoi c’est important en investigation

WPDBUSENUM est l’un des rares emplacements du registre qui conserve un nom de volume. Ce nom corrobore d’autres sources : EMDMgmt, le champ VolumeLabel des raccourcis et des Jump Lists, et les secteurs d’amorçage journalisés par Partition/Diagnostic 1006. Lorsque le nom manque, la lettre de lecteur qui le remplace aide encore à attribuer des artefacts au niveau des dossiers, comme les ShellBags.

Le nœud de SYSTEM porte un ContainerID qui le relie aux nœuds USBSTOR et USB correspondants, même quand les noms diffèrent. La clé de SOFTWARE a une heure de dernière écriture qui donne une idée approximative du moment où Windows a mis à jour l’entrée pour la dernière fois.

Les entrées dont le nom ne renvoie pas à un chemin USBSTOR sont des appareils portables plutôt que des volumes de stockage de masse, par exemple certains téléphones et appareils photo. Elles montrent qu’un appareil a été connecté, pas qu’un système de fichiers a été monté.

Exemple

SYSTEM\ControlSet001\Enum\SWD\WPDBUSENUM\
  _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-b6bf-11d0-94f2-00a0c91efb8b}
      FriendlyName = BACKUP
      ContainerID  = {5c1e2a7d-8b34-4f0e-9d61-2a7c4e9b0f13}

SOFTWARE\Microsoft\Windows Portable Devices\Devices\
  SWD#WPDBUSENUM#_??_USBSTOR#DISK&VEN_CONTOSO&PROD_SECUREFLASH&REV_1.00#CS1234567890&0#{53F56307-…}
      FriendlyName = BACKUP

Le numéro de série CS1234567890 portait un volume nommé BACKUP.

Termes associés

ContainerID : le lien vers les nœuds USB et USBSTOR.
USBSTOR : l’entrée côté disque pour le même numéro de série.
EMDMgmt : une autre source de noms de volume, avec le numéro de série de volume.
ID d’instance de périphérique : le chemin de périphérique inclus dans le nom de la clé.

USB Forensics lit les deux clés et ajoute noms de volume et lettres à chaque périphérique. La carte complète des artefacts USB montre comment elles s’articulent avec les autres sources.