Historique des périphériques USB

Présentation

Windows conserve plusieurs traces indépendantes à chaque branchement d'un périphérique USB : le gestionnaire Plug and Play enregistre le périphérique dans la ruche SYSTEM, le gestionnaire de montage attribue une lettre de lecteur, le profil de l'utilisateur enregistre le point de montage, l'installation du pilote est journalisée dans un fichier texte et, sous Windows 10/11, plusieurs journaux d'événements capturent la connexion. Aucune source n'est complète : l'enquête consiste à les corréler autour du numéro de série du périphérique et du numéro de série du volume.

Emplacement

Ce que l'artefact prouve

• Un support USB d'un fabricant, modèle et numéro de série donnés a été connecté à cet hôte.
• Quand : première installation, dernière connexion et dernier retrait (Windows 8+), plus les connexions individuelles d'après les journaux.
• Quelle lettre de lecteur il a reçue et, via MountPoints2, quel utilisateur était connecté au montage.
• Avec le numéro de série du volume, on relie le support aux fichiers LNK, Jump Lists et ShellBags qui référencent des fichiers qu'il contenait.
• Un numéro de série dont le deuxième caractère est & a été généré par Windows parce que le périphérique n'a pas de série unique ; il n'est pas stable d'un hôte à l'autre.

Champs clés

Horodatages

Rétention et effacement

• Les entrées du registre persistent jusqu'à leur suppression (désinstallation dans le Gestionnaire de périphériques, outils de nettoyage comme USBOblivion).
• Les mises à jour de fonctionnalités de Windows peuvent supprimer USBSTOR et les clés Enum associées et recréer setupapi.dev.log ; des données migrées peuvent subsister sous SYSTEM\Setup\Upgrade\Pnp\CurrentControlSet\Control\DeviceMigration, et des ruches plus anciennes dans Windows.old et les clichés instantanés.
• Les journaux tournent ; le canal Partition/Diagnostic est généralement petit.

Collecte

• Cibles KAPE : RegistryHivesSystem, RegistryHivesUser, USBDevicesLogs (journaux setupapi) et EventLogs ; la cible composée USBDetective les regroupe.
• Velociraptor (Windows.Triage.Targets) : mêmes noms ; Windows.Registry.MountPoints2 et Windows.Detection.Thumbdrives.List aident en direct.
• Commandes natives :

reg query HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR /s
reg query HKLM\SYSTEM\MountedDevices
findstr /i "USBSTOR" C:\Windows\inf\setupapi.dev.log
wevtutil qe Microsoft-Windows-Partition/Diagnostic /f:text /c:20

Outils d'analyse

• Registry Explorer / RECmd (Eric Zimmerman) : signets et fichiers batch dédiés à l'USB.
• RegRipper : plugins usbstor, usb, mountdev, mp2.
• USBDeview (NirSoft) : vue d'ensemble en direct de tous les périphériques déjà connectés.
• EvtxECmd : maps pour Partition/Diagnostic 1006 et les événements Kernel-PnP.

Conseils d'investigation

• Pivotez sur le numéro de série du périphérique entre USBSTOR, USB, MountedDevices et Windows Portable Devices, puis sur le numéro de série du volume vers les entrées LNK et Jump List.
• Construisez une chronologie des connexions à partir de Partition/Diagnostic 1006 : il enregistre chaque connexion, contrairement au registre qui ne garde que la première et la dernière.
• Comparez 0066 / 0067 avec SRUM et l'activité fichiers pour montrer que des données ont été copiées pendant la fenêtre de connexion.
• Vérifiez si une mise à jour de fonctionnalités a eu lieu après l'incident avant de conclure qu'un support n'a jamais été branché.
• Les téléphones et appareils photo (MTP) apparaissent sous Windows Portable Devices et dans les ShellBags, pas dans USBSTOR.