CapabilityAccessManager (caméra, micro, position)

Présentation

Depuis Windows 10 version 1903, le Capability Access Manager suit les applications qui utilisent des capacités sensibles pour la vie privée (webcam, micro, position, contacts, etc.) afin d'afficher les indicateurs et les pages de confidentialité. Pour chaque application, il conserve l'heure de début et de fin de la dernière utilisation. Pour l'enquêteur, il répond à des questions comme « cet outil d'accès distant a-t-il allumé la caméra ? » et constitue aussi une source discrète de preuve d'exécution pour les programmes de bureau.

Les versions récentes de Windows 11 conservent en plus un historique d'utilisation dans une base SQLite.

Emplacement

<capacité> vaut par exemple webcam, microphone, location. Les applications empaquetées (Store) apparaissent sous des sous-clés nommées d'après leur nom de famille de package ; les programmes de bureau classiques sont sous NonPackaged, avec le chemin de l'exécutable comme nom de clé et # à la place de \ (par exemple C:#Program Files#Zoom#bin#Zoom.exe).

Ce que l'artefact prouve

• Le programme listé a tourné et a accédé à la capacité, avec l'heure de début et de fin de sa dernière utilisation ; la différence donne la durée.
• Dans la copie de NTUSER.DAT, l'accès est rattaché à cet utilisateur.
• L'entrée Value (Allow / Deny) indique le réglage d'autorisation, pas l'utilisation.
• Le registre ne conserve que la dernière utilisation par application ; l'historique exige la base de Windows 11 ou d'anciennes copies des ruches.

Champs clés

Base Windows 11 : tables comme Users (SID ↔ identifiant interne), Capabilities, PackageFamilyNames, FileIDs (liés aux identifiants de fichiers d'Amcache), PackagedUsageHistory et NonPackagedUsageHistory.

Horodatages

Rétention et effacement

• Les entrées du registre persistent jusqu'à la suppression de l'application ou le nettoyage de la clé, mais ne contiennent que la dernière session.
• La base de Windows 11 conserve environ un mois d'historique.
• Une entrée NonPackaged peut survivre à l'exécutable qu'elle nomme, ce qui aide pour les outils supprimés.

Collecte

• Cible KAPE : CapabilityAccessManager (la base), plus RegistryHivesSystem et RegistryHivesUser pour les clés.
• Velociraptor (Windows.Triage.Targets) : les trois mêmes cibles.
• Commandes natives :

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\webcam\NonPackaged" /s
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\microphone" /s

Outils d'analyse

• Registry Explorer / RECmd (Eric Zimmerman) : parcourez ou exportez par lot les clés ConsentStore et convertissez les FILETIME QWORD.
• Velociraptor : Windows.Registry.CapabilityAccessManager (artefact de l'Artifact Exchange).
• DB Browser for SQLite ou des parseurs Python communautaires pour CapabilityAccessManager.db.

Conseils d'investigation

• Des outils d'accès distant et des implants (AnyDesk.exe, binaires inconnus dans AppData) sous webcam ou microphone sont des constats prioritaires dans les affaires de harcèlement, d'espionnage et d'extorsion.
• Un chemin NonPackaged dans un dossier temporaire ou de téléchargement est aussi une bonne preuve que le programme a tourné ; confirmez avec BAM/DAM et Amcache.
• Comparez les heures de début et de fin avec les sessions de connexion et l'usage réseau de SRUM pour montrer qu'une session caméra a été diffusée.
• Analysez les copies du registre issues des clichés instantanés pour retrouver des sessions antérieures sous Windows 10.