Pożyczony pendrive zostawił coś na twoim komputerze. I nie chodzi o wirusa

Odłączasz pendrive'a od komputera i zakładasz, że Windows zapomina o nim po chwili? Nie do końca. System może zachować informacje o wcześniej podłączonym urządzeniu nawet wtedy, gdy dawno nie ma go już przy komputerze. Nie oznacza to jednak, że Microsoft stworzył ukrytą bazę wszystkich urządzeń USB, które kiedykolwiek podłączono do danego PC.

System Windows przechowuje zapisy rejestru dla dysków USB po ich odłączeniu, co Microsoft dokumentuje od ponad dekady. W mediach społecznościowych pojawiły się wiralowe wpisy, w których stwierdzono, że system Windows przechowuje „trwały zapis każdego urządzenia USB, które kiedykolwiek podłączono”. Zapisy te istnieją, ale nie są trwałe i nie składają się na pełną historię połączeń.

Windows zostawia po USB ślad

Podłączenie urządzenia pamięci masowej USB powoduje, że system Windows zapisuje wpis w kluczu USBSTOR, w HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR. Jason Walker, inżynier  w firmie Microsoft, opisał ten klucz w poście na blogu Microsoft Scripting z 2012 roku, gdzie napisał, że wszystkie informacje potrzebne systemowi operacyjnemu do identyfikacji urządzenia pamięci masowej znajdują się w tym kluczu.

Wpis może zawierać czytelną nazwę urządzenia, na przykład SanDisk Ultra USB Device. Zawiera również identyfikatory sprzętu i instancji, pochodzące ze szczegółów raportowanych przez urządzenie, a w przypadku niektórych urządzeń identyfikator instancji zawiera numer seryjny lub dane lokalizacji. Wpis przechowuje również moment początkowej konfiguracji dysku, godziny jego ostatniego dostarczenia i usunięcia oraz przypisaną mu literę.

To nie jest dziennik każdego pendrive'a

Wpisy nie zawierają informacji o tym, co było przechowywane na dysku, a sam wpis nie może sam w sobie wykazać, czy pliki zostały skopiowane. Nazwa urządzenia nie potwierdza, że ​​podłączono konkretny pendrive, ponieważ różne dyski mogą mieć identyczne identyfikatory sprzętowe, a urządzenie USB nie musi podawać numeru seryjnego.

 Artykuł pomocy technicznej dotyczący usuwania informacji w rejestrze ze starych urządzeń podaje powód, dla którego wpis pozostaje: „System Windows nie rozpoznaje, kiedy urządzenie pamięci masowej jest tymczasowo lub trwale usuwane”. Z tego powodu technologia Plug and Play zachowuje instancję urządzenia, aby dysk mógł zostać rozpoznany i skonfigurowany po jego powrocie.

„Duchy” można znaleźć w Menedżerze urządzeń

Microsoft nazywa urządzenie, które zostało fizycznie odłączone, ale nadal ma wpisy w rejestrze, urządzeniem nieobecnym lub fantomowym. Po wybraniu opcji Widok > Pokaż ukryte urządzenia w Menedżerze urządzeń, urządzenia te są wyszarzone w sekcji Napędy dysków.

Windows przechowuje informacje o urządzeniach również w innych miejscach. Dziennik SetupAPI zawiera informacje związane z instalacją sprzętu, a klucz MountedDevices może pamiętać powiązania woluminów z literami dysków. PowerShell pozwala natomiast sprawdzić pełną listę urządzeń znanych systemowi albo ograniczyć wynik wyłącznie do sprzętu aktualnie podłączonego.

Istnieje też osobny mechanizm audytu pamięci wymiennych. Po jego wcześniejszym włączeniu Windows może rejestrować dostęp do plików na takich nośnikach. To jednak zupełnie inny mechanizm niż USBSTOR i nie pozwala odzyskać informacji o aktywności sprzed momentu uruchomienia audytu.

Chcesz sprzedać komputer? Samo usunięcie wpisu USB to za mało

Jeżeli komputer ma trafić do innej osoby, ręczne kasowanie kluczy USBSTOR nie jest dobrym sposobem na wyczyszczenie historii systemu. Microsoft ostrzega przed takim działaniem, ponieważ niewłaściwa ingerencja w rejestr może doprowadzić do problemów z obsługą urządzeń.

Znacznie dalej idzie reset systemu z opcją usunięcia wszystkich danych. Przy przekazywaniu komputera innej osobie Microsoft zaleca dodatkowo włączenie funkcji czyszczenia danych. Taki proces usuwa użytkownika, aplikacje i ustawienia oraz reinstaluje Windows.

Najważniejszy wniosek jest więc prosty: Windows rzeczywiście może pamiętać odłączone dyski USB, ale nie prowadzi tajnego, kompletnego archiwum każdego podłączenia.