Удаление вставленных флешек (подготовка к проверки режима секретности), журналов

[clop1000]

Ожидается у меня проверка по режиму секретности. И нужно по удалять из системы (винда xp, windows 7) следы от вставленных флешек.
Какие софтины или способы можете посоветовать?




И какие есть методики для очистки винды от всех следов работы?

[Iska]

Какие софтины или способы можете посоветовать? »
USBDeview — View any installed/connected USB device on your system (http://www.nirsoft.net/utils/usb_devices_view.html).

И какие есть методики для очистки винды от всех следов работы? »
Для старых ОС — переустановка с нуля. Для новых — восстановление до исходного состояния.

[Казбек]

Какие софтины или способы можете посоветовать? »
Даже стороннего ПО не надо. В командной строке от Администратора:
set devmgr_show_nonpresent_devices=1
Дальше идете в Диспетчер устройств. Вид - Показывать скрытые устройства. Открываете раздел Контролеры USB - все как на ладони.
Tweak Device Manager for a more Complete View of Devices (https://technet.microsoft.com/en-us/magazine/ff184583.aspx)
http://i.imgur.com/IJfqg5K.png

Я бы еще журналы событий почистил.
В XP: загрузка LiveCD и удалить файлы:
c:\Windows\System32\config\*.evt
В 7: Очистка журнала событий (https://technet.microsoft.com/ru-ru/library/cc722318.aspx)

[clop1000]

Спасибо! попробую советы и отпишусь.

USBDeview - чистит не все. Через другие софтины видно.

[Iska]

USBDeview - чистит не все. Через другие софтины видно. »
Покажите, как именно «чистите», и что входит в «не всё».

[clop1000]

Поискав в интернете нашел вот еще что -


Мои 5 копеек )еще инфа о USB сохраняется в крайне неприятных файлах sepupapi.app.log setupapi.dev.log в папках XP c:\windows Windows 7 c:\windows\inf\

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\DeviceHandler s\WpdDeviceHandler_USB#VID_04E8&PID_6860&MS_COMP_MTP&ANDROID#7&2AA97DEE&24&0000
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\explorer\AutoplayHandlers\D eviceHandlers\WpdDeviceHandler_USB#VID_04E8&PID_6860&MS_COMP_MTP&ANDROID#7&2AA97DEE&24&0000

Может из этого что-нибудь можно вставить в программу.
найти и удалить: [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USBSTOR] [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\USBSTOR] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR]
в ключе HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\CPC\Volume все подпапки;
в ключе HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\ все подпапки с именами, совпадающими с удаленными подпапками в предыдущем пункте, а также удалить буквы латинского алфавита, которые не соответствуют буквам логических дисков;
в ключе HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{36FC9E60-C465-11CF-8056-444553540000} просмотреть все подпапки и удалить те, в которых параметр DriverDesc имеет значение «Запоминающее устройство для USB» (смотрится в правом окне);
в ключе HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E967-E325-11CE-BFC1-08002BE10318} удалить все подпапки с именем из цифр (т.е. кроме Properties);
в ключе HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\DeviceClasses\{53f56307-b6bf-11d0-94f2-00a0c91efb8b}
в ключе HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\DeviceClasses\{53f5630a-b6bf-11d0-94f2-00a0c91efb8b} удалить все подпапки, содержащие в имени USBSTOR или STORAGE или RemovableMedia;
в ключе HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\DeviceClasses\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b} удалить все подпапки, содержащие в имени USBSTOR или RemovableMedia;
в ключе HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\DeviceClasses\{56907941-3AFE-11D4-AE2C-00A0CC242D2C} удалить все подпапки;
в ключе HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\DeviceClasses\{a5dcbf10-6530-11d2-901f-00c04fb951ed} удалить все подпапки;
в ключе HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\STORAGE\RemovableMedia удалить все подпапки;
в ключе HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USB удалить все подпапки, содержащие в имени Vid;
в ключе HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USBSTOR удалить все подпапки;
в ключе HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceClasses\{3abf6f2d-71c4-462a-8a92-1e6861e6af27} удалить все подпапки;
в ключе HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceClasses\{53f56307-b6bf-11d0-94f2-00a0c91efb8b} удалить все подпапки, содержащие в имени USBSTOR;
в ключе HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceClasses\{53f5630a-b6bf-11d0-94f2-00a0c91efb8b} удалить все подпапки, содержащие в имени STORAGE;
в ключе HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices удалить параметры Volume (смотрится в правом окне);
в нем же удалить буквы латинского алфавита, которые не соответствуют буквам логических;


удалять файл %windir%\setupapi.log
чичтить event log. там тоже может быть инфа о usbsto






На win xp - там почти в каждой ветке было дофига информации даже после удаления флешек в USB Oblivion, и USB deview.
Не знаю чем отличается удаление в win 7,8,10 - если знаете напишите.