USB conectados

Qué pendrives conoce este equipo

En PowerShell como administrador. Get-PnpDevice lista también los dispositivos que ya no están conectados, y sus propiedades dan las tres fechas clave sin tener que leer el registro a mano:

function Get-UsbHistorial {
    Get-PnpDevice -Class DiskDrive -ErrorAction SilentlyContinue |
      Where-Object InstanceId -like 'USBSTOR*' | ForEach-Object {
        $id    = $_.InstanceId
        $props = Get-PnpDeviceProperty -InstanceId $id -ErrorAction SilentlyContinue
        $p     = { param($k) ($props | Where-Object KeyName -eq $k).Data }
        [pscustomobject]@{
            Dispositivo       = $_.FriendlyName
            Serie             = ($id -split '\\')[-1]
            PrimeraConexion   = & $p 'DEVPKEY_Device_FirstInstallDate'
            UltimaConexion    = & $p 'DEVPKEY_Device_LastArrivalDate'
            UltimaDesconexion = & $p 'DEVPKEY_Device_LastRemovalDate'
            ConectadoAhora    = $_.Present
        }
      }
}
Get-UsbHistorial | Sort-Object UltimaConexion -Descending | Format-Table -AutoSize

La primera vez, según el log de instalación

Select-String -Path C:\Windows\INF\setupapi.dev.log -Pattern 'Device Install.*USBSTOR' -Context 0,1 |
  ForEach-Object { $_.Line; $_.Context.PostContext; '' }

Cada conexión, según los eventos

El evento 1006 aparece en Windows 10 y 11 cada vez que se conecta un disco. Carga la función que convierte los datos del evento en campos con nombre (la misma del capítulo 01):

function Get-EventData {
    param([Parameter(ValueFromPipeline)]$Evento)
    process {
        $xml   = [xml]$Evento.ToXml()
        $datos = [ordered]@{ Hora = $Evento.TimeCreated; Id = $Evento.Id }
        foreach ($d in $xml.Event.EventData.Data) { $datos[$d.Name] = $d.'#text' }
        [pscustomobject]$datos
    }
}

Get-WinEvent -LogName 'Microsoft-Windows-Partition/Diagnostic' -FilterXPath '*[System[EventID=1006]]' -ErrorAction SilentlyContinue |
  Get-EventData |
  Select-Object Hora, Manufacturer, Model, SerialNumber, Capacity |
  Format-Table -AutoSize

Qué usuario lo usó

Cada volumen tiene un identificador (GUID). MountedDevices lo relaciona con el dispositivo, y MountPoints2 de cada usuario dice quién lo tuvo montado:

# GUID de volumen de los dispositivos USB que ha visto el equipo
(Get-Item 'HKLM:\SYSTEM\MountedDevices').Property | Where-Object { $_ -like '\??\Volume*' } | ForEach-Object {
    $bytes = (Get-ItemProperty 'HKLM:\SYSTEM\MountedDevices').$_
    $texto = [Text.Encoding]::Unicode.GetString($bytes)
    if ($texto -match 'USBSTOR') { [pscustomobject]@{ Volumen = $_; Dispositivo = $texto } }
} | Format-List

# Volúmenes montados por el usuario actual
Get-ChildItem 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2' |
  Where-Object PSChildName -like '{*}' | Select-Object PSChildName

En una investigación: sobre una copia

En un caso real no se trabaja en el equipo vivo. Se extraen de la imagen de disco las colmenas SYSTEM, SOFTWARE y el NTUSER.DAT de cada usuario, junto a setupapi.dev.log y los .evtx, y se analizan con Registry Explorer o RECmd:

# RECmd con el lote de reglas de Kroll, que incluye los artefactos USB
RECmd.exe -d C:\evidencia\registro --bn BatchExamples\Kroll_Batch.reb --csv C:\salida