Le registre et la securite¶

Comment les malwares utilisent le registre¶

Le registre est une cible de choix pour les malwares. Pourquoi ? Parce que c'est la memoire a long terme de Windows. Si un malware ecrit dans le registre, sa modification survit aux redemarrages.

Technique 1 : persistance via les cles Run¶

La technique la plus courante. Le malware ajoute une entree dans les cles de demarrage :

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

A chaque demarrage de Windows, le programme malveillant se lance automatiquement.

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
    "SystemUpdate"    REG_SZ    C:\Users\Jean\AppData\Local\Temp\svchost.exe

Technique 2 : tentative de desactivation de Windows Defender¶

Un malware sophistique tente souvent de neutraliser l'antivirus avant de s'installer :

HKLM\SOFTWARE\Policies\Microsoft\Windows Defender
    "DisableAntiSpyware" = dword:00000001

HKLM\SYSTEM\CurrentControlSet\Services\WinDefend
    "Start" = dword:00000004

Technique 3 : dissimulation dans CLSID¶

Les malwares avances se cachent derriere des CLSID (identifiants uniques de composants) :

HKCR\CLSID\{GUID-malveillant}\InProcServer32
    (Default) = "C:\ProgramData\malware.dll"

Le malware s'enregistre comme un composant COM legitime. Windows le charge automatiquement quand une application utilise ce CLSID.

Technique 4 : modification des associations de fichiers¶

Le malware redirige les ouvertures de fichiers pour executer son code :

HKCR\.txt\shell\open\command
    (Default) = "C:\malware\fake-notepad.exe %1"

A chaque ouverture d'un fichier .txt, c'est le malware qui s'execute au lieu du Bloc-notes.

Verifier votre demarrage¶

Methode 1 : le Gestionnaire des taches¶

La methode la plus simple pour un debutant :

1. Appuyez sur Ctrl+Shift+Esc
2. Onglet Demarrage
3. Examinez chaque entree

Methode 2 : verification manuelle des cles Run¶

# Check startup entries for the current user
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    SecurityHealth    REG_SZ    C:\Windows\System32\SecurityHealthSystray.exe
    OneDrive          REG_SZ    "C:\Program Files\Microsoft OneDrive\OneDrive.exe" /background

# Check machine-wide startup entries
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    SecurityHealth     REG_SZ    %windir%\system32\SecurityHealthSystray.exe
    RtkAudUService     REG_SZ    "C:\Windows\System32\RtkAudUService64.exe" -background

Verifiez aussi les cles RunOnce :

reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce"
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce"

Les entrees RunOnce s'affichent si elles existent. Sinon, Windows indique que la cle ou la valeur est introuvable.

Methode 3 : Autoruns (outil Sysinternals)¶

L'outil Autoruns de Sysinternals est le meilleur outil gratuit pour inspecter tout ce qui se lance au demarrage.

1. Telechargez-le : https://learn.microsoft.com/sysinternals/downloads/autoruns
2. Lancez Autoruns64.exe en administrateur
3. Cliquez sur l'onglet Everything

Autoruns affiche tous les emplacements de demarrage, pas seulement les cles Run :

Verifier l'etat de Windows Defender¶

Via le registre¶

# Check whether the legacy DisableAntiSpyware policy is present
reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware

ERREUR : le nom ou la valeur specifie est introuvable.

# Check Tamper Protection status
reg query "HKLM\SOFTWARE\Microsoft\Windows Defender\Features" /v TamperProtection

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Features
    TamperProtection    REG_DWORD    0x5

Via PowerShell (plus fiable)¶

# Comprehensive Defender status check
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled, IsTamperProtected

AntivirusEnabled          : True
RealTimeProtectionEnabled : True
IsTamperProtected         : True

Si l'un de ces trois champs est False et que vous n'avez rien desactive, investiguez immediatement.

Renforcement de securite pour debutants¶

Desactiver l'AutoRun¶

L'AutoRun execute automatiquement un programme quand vous inseez une cle USB ou un CD. C'est un vecteur d'infection classique.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer

reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 255 /f

L'operation a reussi.

Pourquoi c'est important : en 2008, le ver Conficker s'est propage massivement via l'AutoRun des cles USB. Depuis, desactiver l'AutoRun est considere comme une mesure de base.

Desactiver le Bureau a distance (si vous ne l'utilisez pas)¶

Le Bureau a distance (RDP) permet de se connecter a votre PC depuis un autre ordinateur. Si vous ne l'utilisez pas, desactivez-le :

HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 1 /f

L'operation a reussi.

Verifier que l'UAC est actif¶

Le Controle de Compte Utilisateur (UAC) est la fenetre qui vous demande "Voulez-vous autoriser cette application a apporter des modifications ?" C'est une barriere de securite essentielle.

# Check UAC status
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    EnableLUA    REG_DWORD    0x1

Desactiver l'execution de scripts PowerShell non signes (optionnel)¶

Par defaut, la politique d'execution PowerShell empeche l'execution de scripts telecharges. Verifiez qu'elle n'a pas ete assouplie :

# Check PowerShell execution policy
reg query "HKLM\SOFTWARE\Microsoft\PowerShell\1\ShellIds\Microsoft.PowerShell" /v ExecutionPolicy

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PowerShell\1\ShellIds\Microsoft.PowerShell
    ExecutionPolicy    REG_SZ    RemoteSigned

Detecter les changements non autorises¶

Regshot : la methode avant/apres¶

Regshot est un outil gratuit qui prend un instantane du registre, puis un deuxieme apres un evenement. Il compare les deux et affiche les differences.

Utilisation :

1. Telechargez Regshot : https://sourceforge.net/projects/regshot/
2. Lancez-le en administrateur

Etape 1 -- Prenez le premier instantane :

• Cliquez sur 1^st shot > Shot
• Attendez la fin du scan (cela peut prendre 1-2 minutes)

Etape 2 -- Faites l'action a analyser :

• Par exemple : installez un programme, ou lancez un fichier suspect dans une VM

Etape 3 -- Prenez le deuxieme instantane :

• Cliquez sur 2^nd shot > Shot

Etape 4 -- Comparez :

• Cliquez sur Compare
• Regshot genere un rapport HTML ou texte

Exemple de rapport :

Keys added: 12
Values added: 47
Values modified: 8
Keys deleted: 0

----------------------------------
Keys added:
----------------------------------
HKLM\SOFTWARE\MonNouveauProgramme
HKLM\SOFTWARE\MonNouveauProgramme\Settings
...

----------------------------------
Values added:
----------------------------------
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\MonProgramme: "C:\Program Files\..."
...

Les permissions du registre¶

Pourquoi certaines cles sont verrouillees¶

Vous avez peut-etre deja rencontre ce message :

"Impossible d'enregistrer la modification. Erreur lors de l'ecriture..."

C'est le systeme de permissions du registre. Comme les fichiers sur votre disque, chaque cle du registre a des permissions qui controlent qui peut faire quoi.

Les niveaux de permission¶

Qui a quelles permissions ?¶

Comment voir les permissions d'une cle¶

1. Dans Regedit, clic droit sur une cle
2. Autorisations...
3. La fenetre affiche les groupes et utilisateurs avec leurs niveaux d'acces

Cles "protegees" par Windows¶

Certaines cles sont protegees par des mecanismes supplementaires :

Tableau recapitulatif des menaces¶