Fiche mémo
Artefacts Windows
Les traces qu'un programme ou un utilisateur laisse sur un poste Windows, et où les trouver. La démarche est dans Forensique (DFIR).
CDSAForensique
Preuves d'exécution
| Artefact | Ce qu'il prouve | Emplacement |
|---|---|---|
| Prefetch | Programme exécuté, nombre d'exécutions et dernières dates | C:\Windows\Prefetch\*.pf |
| Amcache | Programmes présents ou exécutés, avec leur SHA-1 | C:\Windows\AppCompat\Programs\Amcache.hve |
| Shimcache | Programmes vus par le système (présence, pas forcément exécution) | Ruche SYSTEM (AppCompatCache) |
| UserAssist | Programmes lancés depuis l'interface graphique, par utilisateur | NTUSER.DAT |
| BAM | Dernière exécution d'un programme, par utilisateur | Ruche SYSTEM (Services\bam) |
| SRUM | Ressources et volume réseau consommés par application | C:\Windows\System32\sru\SRUDB.dat |
Présence ou exécution ?Shimcache et Amcache prouvent surtout qu'un fichier a existé ; Prefetch, UserAssist et BAM prouvent qu'il a été lancé. Croise toujours plusieurs sources.
Activité de l'utilisateur
| Artefact | Ce qu'il montre | Emplacement |
|---|---|---|
| ShellBags | Dossiers ouverts dans l'Explorateur, même supprimés depuis | UsrClass.dat, NTUSER.DAT |
| LNK | Fichiers ouverts, via les raccourcis créés automatiquement | %APPDATA%\Microsoft\Windows\Recent |
| Jump Lists | Fichiers récents par application | …\Recent\AutomaticDestinations |
| RecentDocs | Documents ouverts récemment, par extension | NTUSER.DAT |
| TypedPaths | Chemins tapés dans la barre d'adresse de l'Explorateur | NTUSER.DAT |
| Corbeille ($I, $R) | Fichiers supprimés : chemin d'origine et date de suppression | C:\$Recycle.Bin |
Ruches du registre
| Ruche | Contenu | Emplacement |
|---|---|---|
| SAM | Comptes locaux et leurs hachés | C:\Windows\System32\config\SAM |
| SYSTEM | Configuration, services, Shimcache, BAM | C:\Windows\System32\config\SYSTEM |
| SOFTWARE | Programmes installés, clés Run de la machine | C:\Windows\System32\config\SOFTWARE |
| SECURITY | Secrets LSA et politique de sécurité | C:\Windows\System32\config\SECURITY |
| NTUSER.DAT | Profil de l'utilisateur : clés Run, UserAssist, RecentDocs | C:\Users\<user>\NTUSER.DAT |
| UsrClass.dat | ShellBags de l'utilisateur | …\AppData\Local\Microsoft\Windows\UsrClass.dat |
Outils d'Eric Zimmerman
| Outil | Artefact traité |
|---|---|
| PECmd | Prefetch |
| AmcacheParser | Amcache |
| AppCompatCacheParser | Shimcache |
| SBECmd | ShellBags |
| LECmd | Fichiers LNK |
| JLECmd | Jump Lists |
| MFTECmd | $MFT et $UsnJrnl |
| RECmd | Registre (ruches complètes) |
| EvtxECmd | Journaux d'événements .evtx |
# Exemple : tout le Prefetch d'une image montée, en CSV pour Timeline Explorer PECmd.exe -d E:\Windows\Prefetch --csv C:\analyse --csvf prefetch.csv # Collecte rapide des artefacts d'un poste : KAPE (cibles !SANS_Triage) ou Velociraptor