徹底清除 USB 使用痕跡：註冊表 USBSTOR/USB/DeviceClasses 完整刪除指南與自動化腳本

為什麼要清除 USB 痕跡？

• 隱私保護：防止他人透過註冊表查詢你插過哪些 USB、時間、序號
• 滿足保密檢查：單位/機關定期掃描 `USBSTOR` 等機碼審查違規攜入
• 故障排除：清除殘留驅動配置，解決「識別錯誤容量/無法識別/代號衝突」
• 測試環境重置：開發/測試 USB 驅動/工具時，需乾淨環境

核心註冊表路徑與清除策略

第一層：USBSTOR (大容量儲存裝置類別) — 最關鍵

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USBSTOR
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\USBSTOR
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\USBSTOR
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR

每個 USB 儲存裝置在這裡建立以 `Vid_XXXX&Pid_XXXX\SerialNumber` 命名的子機碼。刪除此分支下所有子機碼 即可清除該類裝置歷史。

第二層：USB (通用序列匯流排控制器) — 更底層

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USB
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\USB
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\USB
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB

**保留 `ROOT_HUB`、`ROOT_HUB20`、`ROOT_HUB30`** (根集線器)，**刪除其他所有裝置子機碼**（如 `Vid_XXXX&Pid_XXXX\...`）。

第三層：DeviceClasses (裝置介面類別) — 裝置介面註冊

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\DeviceClasses\{53f56307-b6bf-11d0-94f2-00a0c91efb8b}  # Disk
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\DeviceClasses\{a5dcbf10-6530-11d2-901f-00c04fb951ed}  # Volume
... (對應 ControlSet002/003/CurrentControlSet)

刪除包含 `USBSTOR` 字串的裝置介面實例機碼（長串 GUID 路徑）。

手動刪除完整流程

1. Win+R → `regedit`
2. 選單「編輯」→「尋找」→ 輸入 `USBSTOR` → 僅勾選「機碼」→ 尋找下一個 (F3)
3. 對每個找到的 `USBSTOR` 分支：**右鍵 → 權限 → 當前用戶/Administrators → 允許「完全控制」→ 套用**
4. 右鍵分支 →「刪除」→ 是
5. 重複 F3 尋找下一個，直到無結果
6. 重複上述流程搜尋 `USB\Vid_` (排除 ROOT_HUB) 與 `DeviceClasses` 含 `USBSTOR` 項
7. 完成後重啟或 `devmgmt.msc` →「動作」→「掃描硬體變更」重新列舉

自動化清除腳本 (PowerShell，需管理員權限)

# Clean-USBTraces.ps1
# 需管理員權限執行

$ControlSets = @("ControlSet001","ControlSet002","ControlSet003","CurrentControlSet")
$DeletedCount = 0

function Remove-KeyRecursive($Path) {
    if (Test-Path $Path) {
        try {
            # 取得權限
            $Acl = Get-Acl $Path -ErrorAction SilentlyContinue
            if ($Acl) {
                $Rule = New-Object System.Security.AccessControl.RegistryAccessRule("Administrators","FullControl","Allow")
                $Acl.AddAccessRule($Rule)
                Set-Acl $Path $Acl -ErrorAction SilentlyContinue
            }
            Remove-Item $Path -Recurse -Force -ErrorAction SilentlyContinue
            $global:DeletedCount++
            Write-Host "已刪除: $Path" -ForegroundColor Green
        } catch {
            Write-Warning "刪除失敗: $Path - $_"
        }
    }
}

foreach ($CS in $ControlSets) {
    # USBSTOR
    Remove-KeyRecursive "HKLM:\SYSTEM\$CS\Enum\USBSTOR"
    # USB (排除 ROOT_HUB)
    $USBPath = "HKLM:\SYSTEM\$CS\Enum\USB"
    if (Test-Path $USBPath) {
        Get-ChildItem $USBPath | Where-Object {$_.Name -notmatch 'ROOT_HUB'} | ForEach-Object {
            Remove-KeyRecursive $_.PSPath
        }
    }
    # DeviceClasses (磁碟/磁碟區介面)
    $DCPath = "HKLM:\SYSTEM\$CS\Control\DeviceClasses"
    if (Test-Path $DCPath) {
        Get-ChildItem $DCPath -Recurse | Where-Object {$_.PSPath -match 'USBSTOR'} | ForEach-Object {
            Remove-KeyRecursive $_.PSPath
        }
    }
}

Write-Host "清除完成，共處理 $DeletedCount 個機碼。建議重啟電腦。" -ForegroundColor Cyan

輔助清除：裝置管理器隱藏裝置

1. 系統環境變數新增 `devmgr_show_nonpresent_devices=1`
2. `devmgmt.msc` →「檢視」→「顯示隱藏裝置」
3. 展開「磁碟機」與「儲存磁碟區」→ 右鍵灰色 (未連接) USB 裝置 →「解除安裝裝置」→ 勾選「嘗試刪除驅動程式」→ 解除安裝
4. 刪除環境變數 `devmgr_show_nonpresent_devices`

電腦管理 → 可移動儲存體 記錄清除

1. 右鍵「此電腦」→「管理」→「服務與應用程式」→「可移動儲存體」
2. 刪除所有歷史記錄/媒體庫/媒體池資訊

驗證清除效果

• 重新插入 USB → 裝置管理器應顯示「新裝置安裝」過程
• 註冊表搜尋 `USBSTOR` → 僅出現當前連接裝置
• 保密檢查工具 (如 360/金山/專用掃描器) 掃描 → 無歷史記錄

現代系統 (Win10/11) 額外清理點

• `HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2` — 掛載點/自動播放記錄
• `HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\USBStor` — 使用者層 USB 歷史
• 設定 → 隱私權 → 診斷與回饋 → 刪除診斷資料
• 事件檢視器 → 系統/安全性日誌 → 篩選 USB 相關事件 (可選清除)

清除 ≠ 消除所有證據： 註冊表清除只能應付**一般軟體掃描/保密檢查/驅動衝突**。**深度取證**仍可從：系統還原點、頁面檔/休眠檔、記憶體轉儲、檔案系統 `$LogFile`/`$UsnJrnl`、事件日誌、EFI 變數、硬碟固件日誌、網路流量日誌、雲端同步記錄 等來源重建 USB 使用證據。**真正的無痕需求：全盤加密 + 臨時系統 (Live USB/虛擬機) + 物理隔離 + 記憶體加密 + 無日誌模式。**