- Windows almacena metadatos únicos de cada dispositivo USB conectado para agilizar su reconocimiento futuro.
- El sistema guarda registros en el Registro de Windows, el Visor de Eventos y archivos de log específicos.
- Es posible identificar y eliminar los llamados dispositivos fantasma mediante el Administrador de dispositivos o PowerShell.
Seguro que te ha pasado: enchufas un pendrive que tenías olvidado en un cajón desde hace eones y, en un abrir y cerrar de ojos, Windows lo reconoce al instante, asignándole incluso la misma letra de unidad que tenía hace años. Para muchos, esto parece magia o una función básica del sistema, pero en realidad es el resultado de un mecanismo de memoria técnica que mantiene un rastro detallado de cada pieza de hardware que ha pasado por los puertos USB del ordenador.
Aunque a primera vista pueda sonar a que Microsoft nos está espiando o a que el sistema se llena de basura digital, este comportamiento es puramente práctico. Se trata de una estrategia de optimización para evitar que el PC tenga que reinstalar controladores o reconfigurar la unidad cada vez que la conectamos. Sin embargo, para quienes se preocupan por la privacidad o necesitan hacer una limpieza a fondo antes de vender su equipo, saber dónde se guarda este historial es fundamental.
¿Cómo gestiona Windows la memoria de los USB?
Cuando insertamos una unidad de almacenamiento por primera vez, el sistema operativo no se limita a leer los archivos; realiza un proceso de reconocimiento profundo. Windows extrae el número de serie de hardware, que es un identificador único grabado en el controlador del dispositivo. Gracias a esto, el sistema puede diferenciar dos memorias USB exactamente iguales en marca y modelo, tratándolas como entidades independientes.
Toda esta información se vuelca en el Registro de Windows, específicamente en la ruta HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR. Aquí se crean claves que almacenan el nombre del dispositivo, el ID del fabricante (VID) y del producto (PID), y las marcas de tiempo relacionadas con la primera instalación y la última vez que se retiró la unidad. A estos registros de dispositivos que ya no están físicamente conectados se los conoce técnicamente como dispositivos fantasma.
Rastros ocultos: Más allá del Registro
El Registro no es el único sitio donde Windows deja huellas. Si buscamos un análisis más exhaustivo, podemos encontrar datos en diversas capas del sistema:
- El archivo setupapi.dev.log: Ubicado en
C:\Windows\inf, este archivo de texto es una mina de oro para los peritos informáticos, ya que registra la fecha y hora exactas de la instalación de cada controlador USB. - MountedDevices: En la ruta
HKLM\SYSTEM\MountedDevices, el sistema guarda el mapeo entre los volúmenes y las letras de unidad asignadas. - Visor de Eventos: Si el registro operativo de
DriverFrameworks-UserModeestá habilitado, se pueden rastrear eventos específicos como el ID 2003 para conexiones y el ID 2102 para desconexiones.
Es importante mencionar que existen diferentes controladores según la tecnología del dispositivo. Mientras que la mayoría usa Usbstor.sys, las unidades más rápidas que emplean el protocolo USB Attached SCSI utilizan Uaspstor.sys. Por otro lado, periféricos como ratones o teclados no aparecen en USBSTOR porque no son almacenamiento masivo.
Métodos para consultar y limpiar el historial
Si quieres curiosear qué dispositivos han pasado por tu PC sin instalar nada, puedes usar PowerShell. Ejecutando el comando Get-PnpDevice -Class DiskDrive verás una lista de todas las unidades. Si añades el parámetro -PresentOnly, filtrarás solo las que están conectadas ahora, permitiéndote comparar y detectar cuáles son los dispositivos fantasma.
Para borrar estos rastros de forma sencilla y visual, la mejor opción es el Administrador de dispositivos. Solo tienes que ir al menú Ver, marcar la opción Mostrar dispositivos ocultos y, dentro de «Unidades de disco», desinstalar aquellas que aparezcan con un icono translúcido. Esto eliminará la instancia asociada en el sistema sin riesgo de romper nada.
Para usuarios más avanzados o entornos profesionales, existen herramientas de terceros muy eficaces. USBDeview de NirSoft permite listar y borrar entradas rápidamente, mientras que USBOblivion está diseñada específicamente para limpiar a fondo el Registro de cualquier rastro de periféricos antiguos.
Privacidad y consideraciones forenses
Una duda muy común es si Windows guarda una lista de los archivos que hemos copiado. La respuesta corta es no; el registro USBSTOR solo guarda metadatos del hardware. Sin embargo, otras funciones como los «Elementos recientes» o las auditorías de almacenamiento pueden dejar pistas sobre la actividad de los archivos, pero funcionan de forma independiente al registro del dispositivo.
Si la prioridad es la privacidad total, conviene saber que borrar el registro no es infalible contra un análisis forense profesional. Las copias de seguridad del sistema (Shadow Copies) o los puntos de restauración pueden conservar versiones antiguas del registro. Por ello, para operaciones ultra sensibles, lo ideal es usar encriptación BitLocker To Go o arrancar el equipo desde un sistema operativo vivo en Linux.
Tener un registro de hardware es lo que permite que la experiencia Plug and Play sea tan fluida, evitando configuraciones tediosas y asegurando que el equipo reconozca el hardware al instante. Ya sea mediante el uso de comandos de PowerShell, el Visor de Eventos o herramientas externas, tenemos el control total sobre qué huellas queremos mantener y cuáles preferimos borrar de nuestro ordenador para optimizar la privacidad o solucionar conflictos de controladores.