Tâches BITS (base qmgr)

Présentation

Le service de transfert intelligent en arrière-plan (BITS) télécharge et envoie des fichiers en arrière-plan pour Windows Update, Defender et de nombreuses applications. Les attaquants l'utilisent via bitsadmin.exe ou le module PowerShell BitsTransfer : les transferts s'exécutent dans un processus de service svchost.exe, reprennent après un redémarrage et passent par le proxy du système, ce qui fait de BITS un LOLBin de téléchargement bien pratique.

BITS prend aussi en charge une ligne de commande de notification : un programme lancé lorsqu'une tâche se termine ou passe en erreur. Associée à un téléchargement conçu pour échouer, elle offre une persistance qui n'existe que dans la base des tâches BITS, pas dans le registre.

L'état des tâches est conservé dans la base du gestionnaire de files d'attente (qmgr), et l'activité cliente est journalisée dans le canal Bits-Client Operational.

Emplacement

Le dossier correspond à %ALLUSERSPROFILE%\Microsoft\Network\Downloader. À partir de Windows 10, le service BITS ouvre la base sans partage : une copie de fichier classique échoue tant que le service tourne.

Ce que l'artefact prouve

• Un transfert a été configuré : nom de la tâche, URL source, fichier de destination local, octets transférés, propriétaire (SID) et état.
• Une commande y a été associée : programme et arguments de notification que BITS lance à la fin ou en cas d'erreur.
• URL et processus client dans le journal : l'événement 3 nomme la tâche et son propriétaire, les événements 59/60 donnent l'URL.
• Elle ne prouve pas que le fichier téléchargé a été exécuté ; suivez le chemin de destination dans le Prefetch, Amcache ou les événements de processus. Les tâches terminées ou annulées sont retirées de la base active.

Champs clés

Horodatages

Rétention et effacement

• Les tâches sont supprimées de la base lorsqu'elles se terminent ou sont annulées, mais des enregistrements peuvent survivre dans les pages libres de la base et dans les journaux de transactions ESE jusqu'à leur écrasement.
• Les tâches inactives sont abandonnées après un délai de 90 jours par défaut (stratégie JobInactivityTimeout), ce qui limite la durée de vie d'une persistance par « téléchargement en échec » si elle n'est pas renouvelée.
• bitsadmin /reset /allusers ou Get-BitsTransfer -AllUsers | Remove-BitsTransfer efface les tâches ; le journal d'événements et le carving peuvent encore les révéler.
• Le journal Bits-Client est très actif sur les machines sollicitées par Windows Update et tourne selon sa taille.

Collecte

• Cible KAPE : BITS (tout le dossier Downloader, avec copie brute pour les fichiers verrouillés) et EventLogs pour le canal Bits-Client.
• Velociraptor (Windows.Triage.Targets) : BITS, EventLogs. Aucun artefact d'analyse Velociraptor intégré ne cible la base qmgr : collectez les fichiers et analysez-les hors ligne.
• Commandes natives : l'énumération en direct exige des droits d'administrateur ; la base elle-même doit provenir d'un cliché instantané ou d'un outil de copie brute.

bitsadmin /list /allusers /verbose
powershell -c "Get-BitsTransfer -AllUsers | Format-List *"
wevtutil epl Microsoft-Windows-Bits-Client/Operational E:\case\Bits-Client.evtx
vssadmin list shadows

Outils d'analyse

• BitsParser (Mandiant, open source, Python 3) : analyse l'ancien format qmgr comme la base ESE de Windows 10 et suivants, sortie JSON ; --carvedb et --carveall récupèrent les enregistrements supprimés dans la base et les journaux de transactions.
• EvtxECmd (Eric Zimmerman) : événements Bits-Client en CSV pour la chronologie.
• Visionneuses ESE (par exemple esedbexport de libesedb, open source) : elles ouvrent qmgr.db, mais le détail des tâches et fichiers est stocké dans des blobs binaires ; BitsParser reste le choix pratique.

Conseils d'investigation

• Cherchez les tâches dotées d'une commande de notification (CommandExecuted) qui n'est pas un programme de mise à jour connu, et les tâches appartenant à des comptes utilisateurs qui rapatrient des exécutables ou des scripts.
• Extrayez toutes les URL des événements 59 et 60 ; domaines inhabituels, adresses IP brutes et hôtes non Microsoft ressortent nettement face au trafic Windows Update.
• Une tâche en erreur avec une commande de notification et une URL injoignable correspond au schéma classique de persistance BITS.
• Examinez le fichier de destination dans la $MFT et le journal USN : BITS écrit d'abord un fichier temporaire BIT*.tmp, puis le renomme avec le nom de destination.
• bitsadmin.exe dans le Prefetch ou des journaux PowerShell montrant Start-BitsTransfer confirment qui a piloté le transfert.
• Rapprochez URL et horaires des tâches des journaux de proxy, DNS ou pare-feu pour confirmer que le transfert est sorti de la machine et en estimer le volume.