USB Forensics Device History

Définition

La forensique USB analyse les artefacts Windows liés aux connexions de périphériques USB (clés USB, disques durs externes, appareils mobiles) pour documenter quels dispositifs ont été connectés à un système, quand, et par quel utilisateur. Ces informations sont précieuses dans les investigations d'exfiltration de données et de violation de politique d'utilisation acceptable. Windows enregistre automatiquement l'historique des connexions USB dans plusieurs emplacements du registre. La ruche SYSTEM (HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR) contient la liste de tous les périphériques USB de stockage connectés avec leurs informations : fabricant, produit, et numéro de série (si fourni par le périphérique). Cette clé de registre est l'artefact USB principal car elle persiste même après déconnexion et contient l'historique complet. Les artefacts USB complémentaires incluent : HKLM\SYSTEM\MountedDevices (association entre les lettres de lecteur et les identifiants de volume USB), HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 (montages de volumes pour chaque utilisateur, révélant quel utilisateur a accédé au périphérique), les fichiers setupapi.dev.log dans C:\Windows\INF\ (logs d'installation des pilotes USB avec timestamps précis de première connexion), et les Event Logs (EventID 6416 — New external device recognized). Le numéro de série USB est particulièrement précieux forensiquement. Un numéro de série USB unique identifie un périphérique spécifique et permet de le retrouver parmi de multiples périphériques USB similaires. La présence de ce numéro dans USBSTOR peut être corrélée avec le serial number physique inscrit sur le périphérique. Pour les périphériques sans numéro de série (certains appareils moins chers), Windows génère un identifiant unique qui se termine par '&0' dans la clé USBSTOR. L'analyse croisée entre les timestamps USBSTOR, les MFT timestamps des fichiers copiés depuis/vers la clé USB, et les LNK files pointant vers des fichiers sur le périphérique USB permet de reconstruire précisément les données transférées et leur timing.