- Windows almacena metadatos y números de serie de cada USB en la clave USBSTOR del Registro para acelerar conexiones futuras.
- Es posible identificar dispositivos desconectados mediante el Administrador de dispositivos (opción ocultos) o comandos de PowerShell.
- El archivo setupapi.dev.log y el Visor de Eventos permiten rastrear fechas y horas precisas de conexión y desconexión.
Seguro que alguna vez te has fijado en que, al conectar un pendrive que no usabas hace siglos, Windows lo reconoce al instante, casi como si lo estuviera esperando. No hay esperas eternas ni asistentes de configuración molestos; el sistema simplemente sabe quién es el dispositivo y le asigna la misma letra de unidad que tenía hace tiempo. Este comportamiento no es magia, sino el resultado de un sistema de memoria técnica que lleva décadas funcionando en segundo plano.
Mucha gente se asusta cuando descubre que su ordenador guarda un rastro de cada memoria USB que ha pasado por sus puertos, pensando que se trata de una especie de espionaje. Sin embargo, la realidad es mucho más pragmática: es un mecanismo de reconocimiento de hardware diseñado para que la experiencia de usuario sea fluida y no tengamos que reinstalar controladores cada vez que movemos un archivo de un sitio a otro.
El misterio de los dispositivos fantasma y el Registro
Cuando insertamos una unidad de almacenamiento, Windows no solo la lee, sino que crea una entrada detallada en el Registro del sistema. Específicamente, la ruta HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Enum\\USBSTOR es donde se almacena la ficha técnica de cada dispositivo. Lo curioso es que, cuando desconectamos el pendrive, esa entrada no se borra.
Microsoft denomina a estos restos como dispositivos fantasma. El motivo es sencillo: el servicio Plug and Play no tiene forma de saber si ese pendrive volverá mañana o si ha acabado en la basura, por lo que prefiere mantener la instancia lista. Para ver estos \»fantasmas\», basta con entrar al Administrador de dispositivos y, en el menú Ver, marcar la opción de mostrar dispositivos ocultos.
¿Qué datos se guardan exactamente y cuáles no?
Es importante quitarse el miedo: el sistema no guarda una lista de los archivos que habéis copiado ni un historial de los documentos transferidos. Lo que se almacena son metadatos del hardware, tales como el nombre del fabricante, el modelo, los identificadores de instancia y el número de serie único. Además, guarda marcas de tiempo sobre la primera instalación y la última vez que el dispositivo estuvo conectado.
Hay que matizar que no todo lo que conectamos por USB acaba en USBSTOR. Esta clave es exclusiva para el almacenamiento masivo gestionado por Usbstor.sys. Si usáis unidades más rápidas que utilizan el protocolo USB Attached SCSI, estas dependerán de Uaspstor.sys. Por otro lado, los ratones, teclados o webcams no aparecen aquí porque no son dispositivos de almacenamiento.
Herramientas avanzadas para rastrear el historial
Si queremos ir un paso más allá y obtener datos más precisos, existen varias rutas técnicas. Por ejemplo, el archivo setupapi.dev.log, ubicado en C:\\Windows\\inf\\, es una mina de oro para los peritos informáticos, ya que registra la fecha y hora exacta de la instalación de cada dispositivo USB.
Para los que se sienten cómodos con la terminal, PowerShell ofrece comandos muy potentes. Ejecutar Get-PnpDevice -Class DiskDrive permite ver todas las unidades registradas, y si añadimos el parámetro -PresentOnly, podemos comparar cuáles están conectadas ahora y cuáles son rastros antiguos. Para los más curiosos, el comando reg query HKLM\\SYSTEM\\CurrentControlSet\\Enum\\USBSTOR /s desglosa toda la información del registro.
El Visor de Eventos: el diario detallado de Windows
Otra forma de monitorizar la actividad es a través del Visor de Eventos, aunque requiere un poco de configuración. Para registrar las conexiones y desconexiones, hay que habilitar el registro Operativo de DriverFrameworks-UserMode. Una vez activo, Windows empezará a generar eventos específicos:
- Evento 2003: Indica que se ha conectado un dispositivo, detallando el fabricante y el número de serie.
- Evento 2102: Registra el momento exacto de la desconexión del hardware.
Para no volverse loco entre miles de registros, lo ideal es crear una vista personalizada filtrando únicamente estos IDs de evento. También es posible rastrear cambios generales de hardware buscando el origen Kernel-PnP, que es muy útil para detectar problemas de desconexiones intermitentes o fallos de energía.
Cómo limpiar el rastro y solucionar conflictos
En la gran mayoría de los casos, no tiene sentido borrar este historial porque no ralentiza el PC. Sin embargo, en equipos de soporte técnico o laboratorios donde se conectan miles de USBs, pueden surgir conflictos de controladores. La forma más segura de eliminar un dispositivo fantasma es a través del Administrador de dispositivos, seleccionando la unidad oculta y eligiendo desinstalar el dispositivo.
Si notáis que los dispositivos se desconectan solos, podría no ser un problema de registros, sino de la configuración de energía. La opción de suspensión selectiva de USB puede cortar la corriente a los dispositivos inactivos para ahorrar batería, algo que se puede desactivar en las opciones avanzadas de energía del Panel de Control.
Windows gestiona la memoria de sus periféricos para optimizar la velocidad de respuesta, almacenando números de serie y perfiles de hardware en el registro y en logs del sistema. Aunque permite a usuarios avanzados y peritos rastrear qué dispositivos han pasado por el equipo y cuándo, para el usuario medio es simplemente la tecnología que hace que sus memorias USB funcionen al instante sin complicaciones.
