Artefacts des navigateurs (Chrome, Edge, Firefox)

Présentation

Chaque navigateur tient pour chaque utilisateur un profil composé de bases SQLite, de fichiers JSON et de caches. Les navigateurs Chromium (Google Chrome, Microsoft Edge depuis 2020, Brave, Opera, Vivaldi) partagent la même organisation de fichiers : une seule méthode les couvre tous. Firefox utilise son propre jeu de bases SQLite. Ensemble, ils constituent en général la trace la plus riche de l'activité en ligne : pages visitées, termes recherchés, téléchargements, identifiants, saisies de formulaires et onglets ouverts.

Internet Explorer 10/11 et l'ancien Edge (moteur EdgeHTML) stockaient l'historique dans une base ESE, WebCacheV01.dat, que l'on retrouve encore sur des systèmes anciens ou mis à niveau.

Emplacement

Depuis Chrome 96, la base des cookies se trouve dans le sous-dossier Network. Firefox exploite ses bases en mode WAL : copiez places.sqlite-wal et -shm avec le fichier principal (WAL SQLite) ; les bases Chromium sont souvent accompagnées d'un fichier -journal.

Ce que l'artefact prouve

• Navigation : une URL a été chargée dans un profil donné, combien de fois, et si l'adresse a été saisie au clavier.
• Recherches : termes recherchés (tables Chromium keyword_search_terms, Shortcuts ; Firefox moz_inputhistory et URL de recherche).
• Téléchargements : URL source, référent, chemin d'enregistrement, taille, dates de début et de fin, et ouverture éventuelle du fichier (Chromium).
• Comptes et sessions : identifiants enregistrés (noms d'utilisateur ; les mots de passe sont chiffrés), cookies de messagerie web ou de stockage cloud, onglets ouverts à la fermeture.
• L'artefact ne prouve pas que l'utilisateur a lui-même regardé la page : redirections, fenêtres surgissantes, préchargement et historique synchronisé depuis un autre appareil créent aussi des entrées. Les fenêtres privées ne laissent rien dans l'historique.

Champs clés

Horodatages

Tous ces horodatages sont en UTC : convertissez une seule fois et vérifiez le fuseau horaire appliqué par votre outil.

Rétention et effacement

• Chrome et Edge purgent l'historique de plus de 90 jours environ ; Firefox fait expirer les anciennes visites selon une politique fondée sur la taille de places.sqlite plutôt que sur un âge fixe.
• « Effacer les données de navigation » supprime des lignes, mais les pages survivent souvent dans les pages libres SQLite, le WAL ou le journal, le cache et les clichés instantanés : récupérez-les avec des outils de carving adaptés à SQLite.
• Les fenêtres privées / Incognito n'écrivent pas d'historique dans le profil. Des traces peuvent subsister en mémoire, dans le fichier d'échange, le cache DNS, les compteurs réseau de SRUM et les fichiers téléchargés eux-mêmes (avec leur Zone.Identifier).
• Chrome 127 a introduit le chiffrement lié à l'application (app-bound encryption) pour les cookies sous Windows ; combiné à DPAPI, il rend le déchiffrement hors ligne des cookies et mots de passe bien plus difficile. Les métadonnées (hôte, horodatages) restent lisibles.

Collecte

• Cible KAPE : WebBrowsers (composite : Chrome, EdgeChromium, Firefox, InternetExplorer et d'autres navigateurs), plus BrowserCache pour les dossiers de cache
• Velociraptor (Windows.Triage.Targets) : WebBrowsers, BrowserCache (ou navigateur par navigateur : Chrome, EdgeChromium, Firefox, InternetExplorer)
• Commandes natives : fermez le navigateur ou passez par un cliché instantané, car les bases ouvertes sont verrouillées et les modifications récentes se trouvent dans le WAL.

robocopy "C:\Users\alice\AppData\Local\Google\Chrome\User Data\Default" E:\case\chrome History* Login* "Web Data*" Shortcuts* "Top Sites*" /COPY:DAT
robocopy "C:\Users\alice\AppData\Local\Google\Chrome\User Data\Default\Network" E:\case\chrome\Network Cookies* /COPY:DAT
robocopy C:\Users\alice\AppData\Roaming\Mozilla\Firefox\Profiles E:\case\firefox places.sqlite* cookies.sqlite* formhistory.sqlite* /S /COPY:DAT
esentutl.exe /y C:\Users\alice\AppData\Local\Microsoft\Windows\WebCache\WebCacheV01.dat /vss /d E:\case\WebCacheV01.dat

Outils d'analyse

• Hindsight (Ryan Benson, open source) : analyse complète d'un profil Chromium (historique, téléchargements, cookies, saisie automatique, préférences, cache, LevelDB) avec sortie chronologique.
• DB Browser for SQLite : ouvre directement n'importe quelle base d'historique ; travaillez sur une copie avec le fichier -wal à côté pour que le WAL soit appliqué.
• BrowsingHistoryView (NirSoft, gratuit) : historique combiné de Chrome, Edge, Firefox et IE ; ChromeCacheView et MozillaCacheView pour les caches.
• SQLECmd (Eric Zimmerman) : cartes pour l'historique, les téléchargements, les cookies, la saisie automatique et les raccourcis Chromium, et pour l'historique, les téléchargements, les cookies et les formulaires de Firefox.
• Velociraptor : Windows.Applications.Chrome.History, Windows.Applications.Edge.History, Windows.Applications.Firefox.History (remplacés progressivement par l'extension Generic.Forensic.SQLiteHunter).
• Plaso : les parseurs Chrome, Firefox et MSIE WebCache versent les événements du navigateur dans une super-chronologie.

Conseils d'investigation

• Rapprochez chaque ligne de téléchargement du fichier sur disque et de son flux Zone.Identifier (HostUrl, ReferrerUrl) pour prouver sa provenance (Mark of the Web).
• Suivez la chaîne from_visit et le type transition de Chromium pour distinguer une URL saisie d'un clic ou d'une redirection, et reconstituer le chemin vers une page d'hameçonnage.
• Cherchez les envois vers des services de stockage cloud, de transfert de fichiers ou de « paste », puis corrélez la plage horaire avec les octets envoyés par le navigateur dans SRUM.
• Examinez tous les dossiers de profil, pas seulement Default, et tous les navigateurs installés : Edge et Chrome cohabitent souvent.
• Croisez avec les fichiers LNK et les Jump Lists pour montrer qu'un document téléchargé a ensuite été ouvert.
• Un historique vide alors que les cookies, le cache ou Top Sites sont bien remplis évoque un effacement sélectif : examinez le WAL, les pages libres et les clichés instantanés.