USB Forense

¿Qué es el Análisis Forense de USB?

El análisis forense de USB investiga la conexión de dispositivos de almacenamiento extraíbles a un sistema. Permite identificar qué dispositivos se conectaron, cuándo, quién los usó, y potencialmente qué datos se transfirieron.

Artefactos de USB en Windows

Registro de Windows

Estructura de USBSTOR

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR\
└── Disk&Ven_SanDisk&Prod_Ultra&Rev_1.00
    └── 4C530001234567890123
        ├── FriendlyName: "SanDisk Ultra USB 3.0"
        ├── HardwareID: USBSTOR\Disk...
        └── DeviceInstance: timestamps

Información Extraíble

Logs Adicionales

Setupapi.dev.log

%SystemRoot%\inf\setupapi.dev.log

Registra la primera instalación del dispositivo:

>>> [Device Install for USBSTOR\...]
>>>  Section start 2026/01/18 10:32:15.234
...
<<<  Section end 2026/01/18 10:32:16.456

Event Logs

Proceso de Análisis

Herramientas de Análisis

USBDeview (Sistema Vivo)

Muestra:
- Todos los USB conectados alguna vez
- Fecha de primera/última conexión
- Número de serie, VID/PID
- Estado actual (conectado/desconectado)

Rastreo de Archivos

LNK Files (Accesos Directos)

Los archivos .lnk creados al abrir archivos desde USB contienen:

Target path: E:\Documentos\Confidencial.xlsx
Volume Serial: 1234-ABCD
Volume Label: SANDISK
Creation Time: 2026-01-18 10:35:00

Jump Lists

Listas de documentos recientes por aplicación:

%AppData%\Microsoft\Windows\Recent\AutomaticDestinations\
%AppData%\Microsoft\Windows\Recent\CustomDestinations\

Pueden contener referencias a archivos en la unidad USB.

Shellbags

Registro de carpetas navegadas:

NTUSER.DAT\Software\Microsoft\Windows\Shell\BagMRU
NTUSER.DAT\Software\Microsoft\Windows\Shell\Bags

Revela qué carpetas del USB fueron exploradas.

Caso Práctico: Fuga de Información

Escenario

Una empresa sospecha que un empleado copió la base de datos de clientes antes de renunciar.

Análisis Forense

1. Historial USB del empleado

Dispositivo: Kingston DataTraveler 3.0
Serial: 001CC0EC34B5F9C10123
Primera conexión: 2025-06-15 09:00
Última conexión: 2026-01-10 17:45 (día antes de renuncia)
Usuario: empleado_sospechoso
Letra: E:

2. Archivos accedidos desde E:

LNK encontrado: E:\Backup\clientes_2026.xlsx
   Created: 2026-01-10 17:42
   Size: 45.2 MB

Shellbag: E:\Backup\ navegado
   Timestamp: 2026-01-10 17:40

3. Correlación con servidor

Event Log servidor:
2026-01-10 17:35 - Acceso a \\servidor\clientes
2026-01-10 17:38 - Copia de clientes_2026.xlsx
Usuario: empleado_sospechoso
Destino: E:\ (según DLP logs)

Conclusión

El timeline muestra:

• 17:35: Acceso a carpeta de clientes en servidor
• 17:38: Archivo copiado al USB
• 17:40: Navegación del USB para verificar
• 17:42: Archivo abierto desde USB (LNK creado)
• 17:45: USB desconectado (última conexión)

Análisis del Dispositivo USB

Si se Recupera el USB

Desafíos

Contramedidas y Detección

Políticas Empresariales

• DLP (Data Loss Prevention): Logs de copias a USB
• Bloqueo de USB: Device control
• USB autorizados: Whitelist por serial number

Detección en Tiempo Real

# Monitorear conexiones USB
Get-WinEvent -FilterHashtable @{
    LogName='Microsoft-Windows-DriverFrameworks-UserMode/Operational'
    ID=2003
} -MaxEvents 10

Conclusión

El análisis forense de USB es crucial en investigaciones de fuga de datos, robo de propiedad intelectual, y cumplimiento normativo. Windows mantiene un registro detallado de cada dispositivo USB conectado, permitiendo reconstruir el historial de conexiones e identificar potenciales transferencias de datos. Un perito puede determinar qué dispositivos se usaron, cuándo, y por quién, incluso sin tener acceso al dispositivo USB original.

Última actualización: 18 de enero de 2026 Categoría: Forense Digital Código: USB-001