02 septiembre, 2014

USBDeview y Ghostbuster: Analiza información de dispositivos USB y otros

USBDeview es una pequeña aplicación de nirsoft.net que nos muestra información muy detallada de los dispositivos USB conectados actuales o que en un pasado estuvieron conectados en un equipos.

Figura 1: Analizando dispositivos USB USBDeview.

Este tipo de información nos puede ser útil para análisis forenses mostrándonos información de dispositivos conectados en un pasado.

Aprovecho para comentar que la rama del registro de Windows donde podremos ver el ID y demás información de cada dispositivo USB conectado.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR

Otra informacion similar se guarda en fichero log de Windows, se encuentra en el path:

c:\windows\inf\setupapi.dev.log

Ghostbuster es un software que nos proporcionará información detalle de todos los dispositivos conectados en el equipo. Podremos encontrar la clave de registro de Windows correspondiente.

Eliminar esos "dispositivos fantasmas" que la propia herramienta le llama, refiriéndose a dispositivos que estuvieron conectados en un pasado y ya no se utilizan y aquellos dispositivos que permanecen ocultos a simple vista para el usuario, siendo estes de más bajo nivel.