Bluetooth : fiche forensique

Présentation

Lorsqu'un appareil Bluetooth (téléphone, casque, clavier, enceinte) est appairé avec Windows, la pile Bluetooth l'enregistre dans la ruche SYSTEM. Chaque appareil appairé reçoit une clé nommée d'après son adresse MAC, avec son nom convivial, sa classe et, sur les versions récentes, des horodatages. Le Plug and Play crée aussi des entrées d'énumération pour chaque service exposé. Dans les affaires de menace interne, c'est ici qu'on prouve qu'un téléphone personnel a été appairé, et un appairage suivi de l'assistant de transfert de fichiers Bluetooth est une voie d'exfiltration classique et peu technique.

Emplacement

Élément	Chemin (ruche SYSTEM)
Appareils Classic appairés	`ControlSet00x\Services\BTHPORT\Parameters\Devices\<MAC>`
Clés d'appairage	`ControlSet00x\Services\BTHPORT\Parameters\Keys\<MAC adaptateur local>\<MAC appareil>`
Énumération des services Classic	`ControlSet00x\Enum\BTHENUM\{<UUID service>}_...\<instance>`
Appareils Bluetooth LE	`ControlSet00x\Enum\BTHLE\` et `Enum\BTHLEDevice\`
Adaptateur local	`ControlSet00x\Enum\USB\VID_xxxx&PID_xxxx\` (radios USB)

L'adresse MAC est stockée sur 12 chiffres hexadécimaux sans séparateur (par exemple a4c3f0112233). Les 6 premiers (OUI) identifient le fabricant, sachant que beaucoup de téléphones utilisent des adresses aléatoires en BLE.

Ce que l'artefact prouve

Prouve qu'un appareil portant cette adresse MAC et ce nom a été appairé avec cet ordinateur à un moment donné.
Prouve (avec l'entrée Keys) qu'une liaison a été établie, pas une simple découverte.
Les horodatages donnent une date approximative de dernière détection ou connexion quand les valeurs existent.
Il ne prouve pas qu'un transfert de données a eu lieu : les transferts se démontrent à part (exécution de fsquirt, fichiers référencés, fichiers reçus).
Il n'attribue pas l'appairage à un utilisateur : les données sont dans SYSTEM. Corrélez avec les ouvertures de session et l'activité des ruches utilisateur.
Le nom de l'appareil est modifiable sur le téléphone et n'est pas un identifiant unique.

Champs clés

Valeur (sous `Devices\<MAC>`)	Signification
`Name`	Nom convivial, REG_BINARY contenant une chaîne UTF-8 terminée par un nul
`COD`	Class of Device (téléphone, audio, périphérique)
`LastSeen`	Dernière détection par la radio (FILETIME ; absent sur certaines versions)
`LastConnected`	Dernière connexion (FILETIME ; absent sur certaines versions)
`VID`, `PID`, `Version`	Identifiants de l'appareil, s'ils sont annoncés
`LEName`, `LEAddressType`	Présents pour certains appareils LE

L'ensemble exact de valeurs varie selon la version de Windows et entre appareils Classic et LE : regardez ce qui est réellement présent plutôt que d'attendre un schéma fixe.

Horodatages

Horodatage	Format	Remarques
`LastSeen` / `LastConnected`	FILETIME (REG_QWORD), UTC	Dépend de la version ; validez sur un système de référence
Dernière écriture de `Devices\<MAC>`	FILETIME, UTC	Change à chaque mise à jour d'une valeur, souvent à chaque connexion
Propriétés de périphérique `Enum\BTHENUM`	FILETIME, UTC	Les propriétés Plug and Play d'installation et de dernière arrivée/retrait (comme pour les périphériques USB) peuvent exister ; à vérifier par version
Entrées de `setupapi.dev.log`	Texte en heure locale	Première installation de pilote pour chaque service Bluetooth

Rétention et effacement

Les clés subsistent jusqu'à ce que l'utilisateur supprime l'appareil dans les Paramètres ou le Panneau de configuration, ce qui efface les entrées Devices et Keys. Les entrées BTHENUM peuvent durer plus longtemps.
Les clés supprimées peuvent être récupérées depuis les clichés instantanés, les journaux de transaction de la ruche ou les cellules non allouées avec Registry Explorer.
La suppression d'un appareil peu avant une enquête mérite d'être relevée : comparez la ruche actuelle avec des copies plus anciennes.

Collecte

# Hors ligne : collecter la ruche SYSTEM et ses journaux
kape.exe --tsource C: --tdest E:\case --target RegistryHivesSystem,EventLogs
# Vue d'ensemble sur système actif
reg query "HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Devices" /s
Get-PnpDevice -Class Bluetooth | Select-Object FriendlyName, InstanceId, Status

Collectez aussi C:\Windows\INF\setupapi.dev.log et les ruches utilisateur pour les traces de transfert ci-dessous.

Outils d'analyse

Registry Explorer / RECmd (Eric Zimmerman) : parcourir BTHPORT, décoder les valeurs FILETIME ; les fichiers batch RECmd peuvent inclure les clés Bluetooth.
RegRipper : le plugin bthport liste les appareils appairés et leurs noms.
BluetoothView (NirSoft) : vue en direct des appareils proches et appairés.
EvtxECmd : analyse des canaux liés au Bluetooth et des journaux Kernel-PnP.

Conseils d'investigation

Exfiltration par transfert de fichiers Bluetooth : l'assistant est C:\Windows\System32\fsquirt.exe, aussi accessible via Envoyer vers > Périphérique Bluetooth. Cherchez FSQUIRT.EXE dans le Prefetch (la liste des fichiers référencés peut montrer les documents envoyés), Amcache, BAM et UserAssist. Les fichiers reçus arrivent dans un dossier choisi dans l'assistant : vérifiez les LNK récents et le dossier Documents.
Des canaux comme Microsoft-Windows-Bluetooth-BthLEPrepairing/Operational et Microsoft-Windows-Bluetooth-MTPEnum/Operational existent sur les versions récentes ; leur contenu et leur état par défaut varient, vérifiez ce que la machine a réellement journalisé. Microsoft-Windows-Kernel-PnP/Configuration enregistre les installations de périphériques.
Une connexion PAN Bluetooth ou un partage de connexion du téléphone apparaît aussi dans les profils réseau.
Reliez l'adresse MAC à un téléphone saisi : son adresse Bluetooth figure dans les réglages du téléphone et dans les extractions mobiles.

Périphériques Bluetooth appairés

Outils