Analyse forensique¶

Ce que vous allez apprendre¶

• Pourquoi le registre est une mine d'or pour les enquetes numeriques
• Les artefacts forensiques majeurs : activite utilisateur, peripheriques USB, historique reseau, execution d'applications
• Les ShellBags, UserAssist, Shimcache, AmCache et BAM/DAM
• Comment lire les horodatages du registre et leurs limites
• La recuperation de cles supprimees a partir du format binaire
• L'analyse des journaux de transactions (.LOG)
• Les outils incontournables : Registry Explorer, RegRipper, RECmd, KAPE
• Les techniques anti-forensiques et comment les detecter
• Un workflow complet d'analyse hors ligne, etape par etape

Pourquoi le registre interesse les enqueteurs¶

Imaginez la scene d'un crime numerique. Le disque dur contient des milliers de fichiers. Mais le registre, lui, est un temoin silencieux qui note presque tout ce que l'utilisateur et le systeme ont fait.

# Display the last write timestamp of a registry key
$key = Get-Item "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs"
$key.GetValue("") | Out-Null
Write-Output "Last write time: $($key.Name) -> check with forensic tools"

Last write time: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs -> check with forensic tools

Le registre enregistre sans que l'utilisateur le sache :

Artefacts d'activite utilisateur¶

RecentDocs : les documents ouverts recemment¶

Chaque fois qu'un utilisateur ouvre un fichier via l'Explorateur Windows, une trace est ecrite ici :

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs

Les sous-cles sont organisees par extension de fichier :

RecentDocs
├── .pdf
├── .docx
├── .xlsx
├── .txt
└── .jpg

# List all file extensions tracked in RecentDocs
Get-ChildItem "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs"

    Hive: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs

Name                           Property
----                           --------
.docx                          MRUListEx : {1, 0, 0, 0...}
                               0         : {82, 0, 97, 0...}
                               1         : {66, 0, 117, 0...}
.pdf                           MRUListEx : {0, 0, 0, 0...}
                               0         : {82, 0, 101, 0...}

TypedPaths : les chemins tapes dans la barre d'adresse¶

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths

# Read typed paths from Explorer address bar
Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths"

url1 : C:\Users\User\Documents
url2 : \\server\share
url3 : D:\Projects

Chaque url1, url2, etc., represente un chemin que l'utilisateur a tape manuellement. C'est un indicateur fort d'intention : l'utilisateur savait ou il allait.

TypedURLs : les adresses tapees dans Internet Explorer / Edge Legacy¶

HKCU\Software\Microsoft\Internet Explorer\TypedURLs

Get-ItemProperty "HKCU:\Software\Microsoft\Internet Explorer\TypedURLs" -ErrorAction SilentlyContinue

url1 : https://www.google.com
url2 : https://intranet.contoso.com
url3 : http://192.168.1.1

RunMRU : les commandes executees via Executer (Win+R)¶

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"

a : cmd\1
b : regedit\1
c : notepad\1
d : powershell\1
MRUList : dcba

Le \1 a la fin de chaque valeur est un terminateur interne. MRUList indique l'ordre chronologique inverse : d est la commande la plus recente.

LastVisitedMRU et OpenSaveMRU¶

Ces cles enregistrent les dossiers utilises dans les dialogues Ouvrir et Enregistrer sous :

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\LastVisitedPidlMRU
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSavePidlMRU

Historique des peripheriques USB¶

USBSTOR : la carte d'identite de chaque cle USB¶

Chaque peripherique USB de stockage connecte a la machine laisse une empreinte ici :

HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR

# List all USB storage devices ever connected
Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR"

    Hive: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR

Name
----
Disk&Ven_SanDisk&Prod_Ultra&Rev_1.00
Disk&Ven_Kingston&Prod_DataTraveler_3.0&Rev_PMAP
Disk&Ven_Seagate&Prod_Expansion&Rev_0636

Chaque sous-cle contient le numero de serie unique du peripherique :

# Get serial numbers for a specific device
Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Enum\USBSTOR\Disk&Ven_SanDisk&Prod_Ultra&Rev_1.00"

Name
----
4C530001131223117025&0

MountedDevices : les lettres de lecteur attribuees¶

HKLM\SYSTEM\MountedDevices

Cette cle associe les lettres de lecteur (\DosDevices\E:) aux identifiants physiques des volumes. En croisant avec USBSTOR, on peut determiner quelle lettre a ete attribuee a un peripherique USB.

# List mounted device mappings
Get-ItemProperty "HKLM:\SYSTEM\MountedDevices" |
    Select-Object -Property * -ExcludeProperty PS* |
    Format-List

\DosDevices\C:  : {84, 0, 0, 0...}
\DosDevices\D:  : {84, 0, 0, 0...}
\??\Volume{guid} : {95, 0, 0, 0...}
Les donnees sont en binaire et representent les identifiants physiques des volumes.

EMDMgmt : estimation des performances USB¶

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EMDMgmt

Cette cle (liee a ReadyBoost) contient un enregistrement pour chaque peripherique USB avec :

• Le nom convivial du volume
• Le numero de serie
• L'horodatage de derniere connexion
• La taille du volume

Historique reseau¶

NetworkList : les reseaux connus¶

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles

Chaque sous-cle (un GUID) represente un reseau auquel la machine s'est connectee :

# List all known network profiles
Get-ChildItem "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles" |
    ForEach-Object {
        $props = Get-ItemProperty $_.PSPath
        [PSCustomObject]@{
            Name        = $props.ProfileName
            Description = $props.Description
            DateCreated = $props.DateCreated
            DateLastConnected = $props.DateLastConnected
        }
    }

Name                Description              DateCreated          DateLastConnected
----                -----------              -----------          -----------------
MonWiFi             MonWiFi                  {7, 232, 4, ...}    {7, 232, 5, ...}
Hotel_Guest         Hotel_Guest              {7, 232, 3, ...}    {7, 232, 3, ...}
Contoso-Corp        Contoso-Corp             {7, 231, 6, ...}    {7, 232, 5, ...}

NetworkList Signatures : les identifiants physiques¶

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures

Contient les adresses MAC des passerelles et les SSID des reseaux sans fil. Cela permet de geolocalis un ordinateur en associant un SSID a un emplacement physique connu.

Traces d'execution d'applications¶

UserAssist : compteur d'utilisation des programmes¶

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist

Windows compte chaque execution de programme via l'Explorateur. Les donnees sont encodees en ROT13 (un simple decalage de 13 lettres).

# Decode a ROT13-encoded UserAssist path
import codecs
encoded = "HRZR_PHEERAG_HFRE\\Fbsgjner\\Zvpebfbsg\\Jvaqbjf\\PheeragIrefvba\\Rkcybere\\EhaZEH"
decoded = codecs.decode(encoded, 'rot_13')
print(decoded)

HEME_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU

BAM et DAM : Background/Desktop Activity Moderator¶

Disponible depuis Windows 10 1709.

HKLM\SYSTEM\CurrentControlSet\Services\bam\State\UserSettings\<SID>
HKLM\SYSTEM\CurrentControlSet\Services\dam\State\UserSettings\<SID>

# List BAM entries for the current user (requires admin)
$sid = (whoami /user /fo csv | ConvertFrom-Csv).SID
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\bam\State\UserSettings\$sid" -ErrorAction SilentlyContinue |
    Select-Object -Property * -ExcludeProperty PS*, Version, SequenceNumber

\Device\HarddiskVolume3\Windows\System32\cmd.exe               : {216, 7, 4, 0...}
\Device\HarddiskVolume3\Program Files\Mozilla Firefox\firefox.exe : {216, 7, 4, 0...}
\Device\HarddiskVolume3\Windows\System32\WindowsPowerShell\v1.0\powershell.exe : {216, 7, 4, 0...}

Shimcache (AppCompatCache)¶

Le cache de compatibilite applicative enregistre les metadonnees des executables que le systeme a vu, meme s'ils n'ont pas forcement ete executes.

HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache

La valeur AppCompatCache est un blob binaire compresse qui contient :

• Le chemin complet de l'executable
• L'horodatage de derniere modification du fichier ($STANDARD_INFORMATION)
• Un drapeau d'execution (avant Windows 10)

L'outil ShimCacheParser d'Eric Zimmerman permet d'extraire ces donnees :

AppCompatCacheParser.exe -f C:\Windows\System32\config\SYSTEM --csv C:\output

ControlSet,Path,LastModifiedTimeUTC,Executed
1,C:\Windows\System32\cmd.exe,2024-01-15 10:23:45,N/A
1,C:\Program Files\7-Zip\7z.exe,2024-02-20 14:15:00,N/A
1,C:\temp\suspicious.exe,2024-03-01 08:00:12,N/A

AmCache : l'historique detaille des executables¶

C:\Windows\appcompat\Programs\Amcache.hve

AmCache est une ruche separee (pas une sous-cle du registre principal) qui enregistre :

AmcacheParser.exe -f C:\Windows\appcompat\Programs\Amcache.hve --csv C:\output

AmcacheParser version X.X.X.X
Processing C:\Windows\appcompat\Programs\Amcache.hve...
Found X entries
CSV output: C:\output

ShellBags : l'historique de navigation dans l'Explorateur¶

Les ShellBags enregistrent les preferences d'affichage (taille des icones, position de la fenetre, tri) pour chaque dossier visite dans l'Explorateur Windows.

HKCU\Software\Microsoft\Windows\Shell\BagMRU
HKCU\Software\Microsoft\Windows\Shell\Bags
HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU
HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags

Pourquoi les ShellBags sont precieux pour l'enqueteur :

L'outil ShellBags Explorer d'Eric Zimmerman offre une interface graphique pour naviguer dans ces artefacts :

SBECmd.exe -d C:\Users\suspect --csv C:\output

SBECmd version X.X.X.X
Processing C:\Users\suspect...
Found X ShellBag entries
CSV output: C:\output

Horodatages dans le registre¶

Ce que le registre enregistre¶

Chaque cle du registre possede un unique horodatage : le Last Write Time. C'est l'equivalent du timestamp de modification d'un fichier.

Lire les horodatages¶

# Read the last write time of a registry key
$key = [Microsoft.Win32.RegistryKey]::OpenBaseKey(
    [Microsoft.Win32.RegistryHive]::LocalMachine,
    [Microsoft.Win32.RegistryView]::Default
).OpenSubKey("SOFTWARE\Microsoft\Windows\CurrentVersion")

# The .NET API doesn't expose LastWriteTime directly
# Use P/Invoke or forensic tools for precise timestamps
Write-Output "Use forensic tools like Registry Explorer for precise timestamps"

Use forensic tools like Registry Explorer for precise timestamps

Avec les outils forensiques, c'est plus direct :

RECmd.exe -d C:\Windows\System32\config --bn BatchExamples\BasicSystemInfo.reb --csv C:\output

RECmd version X.X.X.X

Processing C:\Windows\System32\config\SYSTEM...
Processing C:\Windows\System32\config\SOFTWARE...
Processed 2 hive files in X.XX seconds
CSV output: C:\output

Ce que les horodatages disent -- et ne disent PAS¶

Recuperation de cles supprimees¶

Comment fonctionne la "suppression" dans le registre¶

Quand une cle est supprimee, le registre ne l'efface pas physiquement. Il marque simplement la cellule comme libre en changeant le signe de sa taille.

graph LR
    A["Cellule allouee<br/>Taille = -120 octets"] -->|Suppression| B["Cellule libre<br/>Taille = +120 octets"]
    B -->|"L'espace est reutilise<br/>plus tard"| C["Nouvelle cellule<br/>Taille = -80 octets"]

Espace non alloue (unallocated cells)¶

Les cellules marquees comme libres mais pas encore reutilisees forment l'espace non alloue. C'est la que les outils forensiques cherchent les donnees supprimees.

Outils de recuperation¶

Registry Explorer (Eric Zimmerman) :

1. Charger la ruche hors ligne
2. Aller dans Tools > Search > Include deleted keys
3. Les cles supprimees apparaissent en rouge
4. Examiner les valeurs associees

yarp (Yet Another Registry Parser) :

# Parse a hive and extract deleted keys
python -m yarp --deleted-keys C:\evidence\SYSTEM > deleted_keys.txt

Les cles supprimees sont ecrites dans deleted_keys.txt avec leurs chemins et valeurs recuperees.

RegRipper avec l'option de recuperation :

rip.exe -r C:\evidence\NTUSER.DAT -p all -d

La sortie inclut les artefacts standards plus les donnees recuperees dans l'espace non alloue,
marquees comme "deleted" ou "recovered".

Le drapeau -d active la recherche dans les cellules non allouees.

Analyse des journaux de transactions¶

Les fichiers .LOG, .LOG1 et .LOG2¶

Chaque ruche est accompagnee de fichiers de journal :

dir %SystemRoot%\System32\config\SYSTEM*

 Volume in drive C is OS
 Directory of C:\Windows\System32\config

03/15/2024  10:23 AM      16,777,216 SYSTEM
03/15/2024  10:23 AM         262,144 SYSTEM.LOG1
03/15/2024  09:45 AM         262,144 SYSTEM.LOG2

Comment fonctionnent les transactions¶

sequenceDiagram
    participant App as Application
    participant CM as Configuration Manager
    participant Log as Journal .LOG
    participant Hive as Fichier ruche

    App->>CM: RegSetValueEx()
    CM->>Log: Ecrire les pages modifiees (dirty pages)
    Log-->>CM: Ecriture confirmee
    CM->>Hive: Appliquer les modifications
    Hive-->>CM: Ecriture confirmee
    CM->>Log: Marquer la transaction comme terminee

Si un crash survient entre l'ecriture du journal et l'application a la ruche, Windows rejoue le journal au demarrage suivant pour restaurer la coherence.

Utiliser les journaux en forensique¶

Les journaux de transactions peuvent contenir des modifications recentes qui n'ont pas encore ete appliquees a la ruche principale. Ils peuvent aussi reveler l'etat pre-modification des donnees.

rla.exe (Registry Log Analyzer, Eric Zimmerman) :

rla.exe -f C:\evidence\SYSTEM.LOG1 --csv C:\output

rla version X.X.X.X
Processing C:\evidence\SYSTEM.LOG1...
Found X dirty pages with pending transactions
CSV output: C:\output

yarp avec replay de transactions :

import yarp

# Load primary hive
primary = open("C:/evidence/SYSTEM", "rb")

# Load transaction logs
log1 = open("C:/evidence/SYSTEM.LOG1", "rb")
log2 = open("C:/evidence/SYSTEM.LOG2", "rb")

# Create a hive object and apply transaction logs
hive = yarp.Registry.RegistryHive(primary)
recovery_result = hive.recover_auto(log1, log2)

print(f"Recovery result: {recovery_result}")
# 0 = no recovery needed, 1 = recovered from log1, 2 = recovered from log2

Recovery result: 1

Outils forensiques en profondeur¶

Registry Explorer (Eric Zimmerman)¶

L'outil de reference pour l'analyse graphique des ruches.

Workflow typique :

1. Lancer RegistryExplorer.exe
2. File > Load hive : charger NTUSER.DAT
3. Accepter le chargement des journaux de transactions
4. Bookmarks > Common : naviguer vers les artefacts predefinis
5. Tools > Find : rechercher des valeurs specifiques
6. Clic droit sur une cle > Export subtree pour sauvegarder

RegRipper : automatisation par plugins¶

RegRipper est un outil en ligne de commande qui execute des plugins Perl sur des ruches. Chaque plugin extrait un artefact specifique.

rip.exe -r C:\evidence\NTUSER.DAT -p userassist

Launching userassist v.20200511
UserAssist
Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist

{CEBFF5CD-ACE2-4F4F-9178-9926F41749EA}
  Tue Mar 01 08:15:23 2024 Z
    Microsoft.Windows.Explorer (Count: 45)
  Mon Feb 28 14:30:12 2024 Z
    C:\Windows\System32\cmd.exe (Count: 12)
  Mon Feb 28 10:00:05 2024 Z
    C:\Program Files\Mozilla Firefox\firefox.exe (Count: 87)

Plugins les plus utiles :

Execution en masse avec le profil all :

rip.exe -r C:\evidence\NTUSER.DAT -p all > C:\output\ntuser_all.txt

Tous les plugins disponibles sont executes sur la ruche NTUSER.DAT.
La sortie complete est redirigee vers ntuser_all.txt.

RECmd : la puissance de la ligne de commande¶

RECmd est l'equivalent en ligne de commande de Registry Explorer, ideal pour le scripting et le traitement en masse.

RECmd.exe -d C:\evidence --bn BatchExamples\RECmd_Batch_MC.reb --csv C:\output --csvf results.csv

Command line: -d C:\evidence --bn BatchExamples\RECmd_Batch_MC.reb --csv C:\output --csvf results.csv
Found 5 hive files in C:\evidence
Processing SYSTEM... done (2.3 seconds)
Processing SOFTWARE... done (4.1 seconds)
Processing NTUSER.DAT... done (1.8 seconds)
Processing SAM... done (0.4 seconds)
Processing UsrClass.dat... done (1.2 seconds)

Total results: 1,247
CSV file: C:\output\results.csv

KAPE : collecte automatisee d'artefacts¶

KAPE (Kroll Artifact Parser and Extractor) orchestre la collecte et le traitement des artefacts.

kape.exe --tsource C:\ --tdest C:\output\collected --target RegistryHives
kape.exe --msource C:\output\collected --mdest C:\output\parsed --module RegistryASEPs,AmcacheParser,ShimCacheParser

KAPE version X.X.X.X
Target source: C:\
Target destination: C:\output\collected
Found X files matching RegistryHives targets
Copied X files in X.XX seconds

La premiere commande collecte les ruches, la seconde les traite avec les outils d'Eric Zimmerman.

Autopsy : modules registre¶

Autopsy est un framework forensique open source qui inclut des modules d'analyse du registre :

1. Creer un cas dans Autopsy
2. Ajouter une source de donnees (image disque ou dossier)
3. Activer les modules : Recent Activity, Registry Analyzer
4. Les artefacts sont extraits automatiquement et classes par categorie

Workflow d'analyse hors ligne¶

Voici le processus complet pour analyser un registre en contexte forensique :

graph TD
    A["1. Acquisition<br/>Image disque ou copie des ruches"] --> B["2. Verification d'integrite<br/>Hashs SHA-256"]
    B --> C["3. Identification des ruches<br/>SYSTEM, SOFTWARE, NTUSER.DAT, SAM, UsrClass.dat"]
    C --> D["4. Replay des journaux<br/>Appliquer .LOG1 et .LOG2"]
    D --> E["5. Extraction automatisee<br/>RegRipper, RECmd, KAPE"]
    E --> F["6. Analyse manuelle<br/>Registry Explorer"]
    F --> G["7. Correlation<br/>Croiser avec journaux d'evenements, NTFS, memoire"]
    G --> H["8. Rapport<br/>Timeline et conclusions"]

Etape 1 : acquisition¶

:: Copy registry hives from a mounted image
robocopy E:\Windows\System32\config C:\evidence SYSTEM SOFTWARE SAM SECURITY DEFAULT /B
robocopy E:\Windows\System32\config C:\evidence SYSTEM.LOG* SOFTWARE.LOG* SAM.LOG* /B
robocopy E:\Users\suspect C:\evidence NTUSER.DAT NTUSER.DAT.LOG* /B
robocopy "E:\Users\suspect\AppData\Local\Microsoft\Windows" C:\evidence UsrClass.dat UsrClass.dat.LOG* /B

               Total    Copied   Skipped  Mismatch    FAILED    Extras
    Files :         5         5         0         0         0         0
    Bytes :   16.0 m    16.0 m         0         0         0         0

Etape 2 : verification d'integrite¶

# Generate SHA-256 hashes for all collected files
Get-ChildItem C:\evidence -File | ForEach-Object {
    $hash = (Get-FileHash $_.FullName -Algorithm SHA256).Hash
    "$hash  $($_.Name)" | Out-File C:\evidence\hashes.txt -Append
}
Get-Content C:\evidence\hashes.txt

A1B2C3D4E5F6...  SYSTEM
F6E5D4C3B2A1...  SOFTWARE
1234ABCD5678...  NTUSER.DAT

Etape 3 : extraction automatisee¶

:: Run RegRipper on all hives
rip.exe -r C:\evidence\SYSTEM -p all > C:\output\system_report.txt
rip.exe -r C:\evidence\SOFTWARE -p all > C:\output\software_report.txt
rip.exe -r C:\evidence\NTUSER.DAT -p all > C:\output\ntuser_report.txt
rip.exe -r C:\evidence\SAM -p all > C:\output\sam_report.txt

:: Run RECmd with batch processing
RECmd.exe -d C:\evidence --bn BatchExamples\RECmd_Batch_MC.reb --csv C:\output

Les rapports sont generes dans C:\output pour chaque ruche.
RECmd produit un fichier CSV avec les resultats du traitement par lot.

Etape 4 : analyse ciblee¶

Chercher des indicateurs specifiques :

:: Search for persistence mechanisms (auto-start)
RECmd.exe -d C:\evidence --kn "Run" --csv C:\output --csvf autostart.csv
RECmd.exe -d C:\evidence --kn "Services" --csv C:\output --csvf services.csv

:: Search for specific executable paths
RECmd.exe -d C:\evidence --sd "suspicious.exe" --csv C:\output --csvf suspicious.csv

Les fichiers CSV autostart.csv, services.csv et suspicious.csv sont generes dans C:\output
avec les cles et valeurs correspondant aux criteres de recherche.

Chaine de tracabilite (Chain of Custody)¶

Regles essentielles :

Anti-forensique : manipulation et contre-mesures¶

Manipulation des horodatages¶

Un attaquant peut modifier le Last Write Time d'une cle pour brouiller la chronologie :

# Attackers can use NtSetInformationKey to modify timestamps
# This requires direct NT API calls or tools like SetRegTime

Detection : comparer les horodatages du registre avec ceux du systeme de fichiers NTFS ($STANDARD_INFORMATION vs $FILE_NAME). Les incoherences revelent une manipulation (timestomping).

Donnees cachees dans le registre¶

Les attaquants peuvent stocker des donnees dans des endroits inhabituels :

Suppression selective de traces¶

Un attaquant sophistique peut :

1. Supprimer les entrees specifiques dans USBSTOR
2. Vider les ShellBags
3. Effacer les entrees UserAssist
4. Purger les RecentDocs

Contre-mesure : les donnees supprimees restent dans l'espace non alloue de la ruche. Les outils de recuperation peuvent les retrouver (voir la section Recuperation de cles supprimees).

Outils anti-forensiques connus¶

Scenarios d'investigation reels¶

Scenario 1 : vol de donnees par cle USB¶

Contexte : un employe est suspecte d'avoir copie des fichiers confidentiels sur une cle USB.

graph LR
    A["USBSTOR<br/>Identifier le peripherique"] --> B["MountedDevices<br/>Lettre de lecteur attribuee"]
    B --> C["ShellBags<br/>Dossiers parcourus sur la cle"]
    C --> D["RecentDocs<br/>Fichiers ouverts"]
    D --> E["BAM<br/>Executables utilises"]
    E --> F["Timeline<br/>Reconstruction chronologique"]

Demarche :

1. USBSTOR : identifier le modele et le numero de serie de la cle USB
2. MountedDevices : retrouver la lettre de lecteur attribuee (ex : E:)
3. ShellBags : verifier si l'utilisateur a parcouru des dossiers sur E:
4. RecentDocs : voir si des fichiers specifiques ont ete ouverts depuis E:
5. Horodatages : etablir la fenetre temporelle

Scenario 2 : execution d'un malware¶

Contexte : un poste de travail est suspecte d'avoir ete compromis par un executable malveillant.

Demarche :

1. Shimcache : verifier si malware.exe apparait dans le cache
2. AmCache : obtenir le hash SHA-1 de l'executable
3. BAM : confirmer l'execution avec horodatage
4. UserAssist : verifier s'il a ete lance via l'Explorateur
5. Services / Run keys : verifier les mecanismes de persistance
6. VirusTotal : rechercher le hash dans les bases de menaces

Scenario 3 : connexion a un reseau suspect¶

Contexte : verifier si un laptop s'est connecte a un reseau Wi-Fi specifique.

1. NetworkList\Profiles : chercher le nom du SSID
2. NetworkList\Signatures : obtenir l'adresse MAC de la passerelle
3. Horodatages : dates de premiere et derniere connexion
4. Geolocalisation : croiser le SSID/MAC avec des bases comme WiGLE