Aide-mémoire des artefacts Windows
Tous les artefacts de cette référence sur une page, regroupés selon ce qu'ils aident à prouver. Ouvrez un artefact pour ses horodatages, ses champs, sa rétention et des conseils d'investigation.
Exécution
| Artefact | Emplacement | Prouve | KAPE / Velociraptor |
|---|---|---|---|
| Amcache.hve | C:\Windows\AppCompat\Programs\Amcache.hve | Un binaire était présent (chemin, SHA-1, métadonnées PE) ; souvent, pas toujours, qu'il a tournéLastWrite de la clé de chaque entrée en FILETIME, UTC ; LinkDate PE (compilation, UTC) ; InstallDate en chaîne au format variable selon le build | Amcache |
| Assistant Compatibilité des programmes (PCA) | C:\Windows\appcompat\pca\PcaAppLaunchDic.txt | Un programme a été lancé depuis l'interface graphique, et sa dernière exécution (Windows 11 22H2+)Dernier lancement GUI par chemin (PcaAppLaunchDic.txt) et heures des enregistrements PcaGeneralDb, texte UTC ; LastWrite de la clé Store en FILETIME, UTC | AppCompatPCA |
| BAM / DAM (Background Activity Moderator) | SYSTEM\CurrentControlSet\Services\bam\State\UserSettings\<SID> | Quel utilisateur a lancé quel exécutable, et quand pour la dernière foisDernière exécution par exécutable (8 premiers octets de la valeur) en FILETIME, UTC ; LastWrite de la clé SID | RegistryHivesSystem |
| Fichiers PE (exécutables Windows) | Tout .exe, .dll, .sys, .scr, .cpl sur disque ou extrait de la mémoire | Ce qu'est un binaire, qui l'a compilé et signé, et s'il correspond à un outil ou malware connuTimeDateStamp du PE en temps UNIX, UTC (facile à falsifier) ; heure de contre-signature Authenticode, UTC ; dates $SI/$FN du fichier, UTC | Velo: PrefetchBinaries |
| Fichiers Prefetch (.pf) | C:\Windows\Prefetch\<EXE>-<HASH>.pf | Un exécutable précis a été lancé, combien de fois et quand (jusqu'à 8 dates)8 dernières exécutions (1 avant Windows 8) en FILETIME, UTC, environ 10 s après le lancement ; dates $SI du fichier .pf, UTC | Prefetch |
| hiberfil.sys (fichier d'hibernation) | C:\hiberfil.sys | L'état mémoire à la dernière hibernation ou au démarrage rapide : processus, connexions, codeDate de modification NTFS (UTC) = dernière mise en veille prolongée ou Démarrage rapide ; structures mémoire surtout en FILETIME, UTC | MemoryFiles |
| Journal d'événements Sysmon | C:\Windows\System32\winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx | Créations de processus avec ligne de commande complète et hash, connexions réseau, activité fichiers, registre et DNS, selon la configurationChamp UtcTime dans chaque événement (UTC, chaîne à la milliseconde) et TimeCreated de l'EVTX (UTC, précision FILETIME) | EventLogs |
| Journaux d'événements Windows (EVTX) | C:\Windows\System32\winevt\Logs\*.evtx | Connexions, créations de processus, installations de services et tâches, effacement des journaux…TimeCreated SystemTime en FILETIME, UTC (l'Observateur affiche l'heure locale) ; certains champs EventData contiennent l'heure locale | EventLogs |
| Journaux de suivi d'événements (fichiers ETL) | C:\Windows\System32\LogFiles\WMI\*.etl | Une activité système bas niveau (démarrage, Wi-Fi, mises à jour) enregistrée par des sessions ETWHorloge brute par événement (QPC, heure système ou cycles CPU) convertie en FILETIME, UTC ; début/fin dans l'en-tête ; horodatages NTFS des .etl | EventTraceLogs, WindowsUpdate |
| Journaux et historique PowerShell | C:\Windows\System32\winevt\Logs\Microsoft-Windows-PowerShell%4Operational.evtx | Quel code PowerShell a tourné, sous quel compte et quand ; commandes tapées par utilisateurTimeCreated en FILETIME, UTC ; lignes PSReadLine non datées ($SI du fichier seulement) ; noms et en-têtes de transcripts en heure locale, sans fuseau | EventLogs, PowerShellConsole, PowerShellTranscripts |
| Journaux et quarantaine Microsoft Defender | C:\ProgramData\Microsoft\Windows Defender\Support\MPLog-*.log | Un malware était présent ou a tourné, la réaction de Defender, et qui l'a affaibliTimeCreated et heure de quarantaine en FILETIME, UTC ; Detection Time du 1116 en ISO 8601, UTC ; lignes MPLog en ISO 8601, parfois sans fuseau | WindowsDefender, WinDefendDetectionHist |
| MUICache | UsrClass.dat\Local Settings\Software\Microsoft\Windows\Shell\MuiCache | Le shell d'un utilisateur a résolu le nom d'un exécutable, en général parce qu'il a tournéUniquement le LastWrite de la clé MuiCache en FILETIME, UTC ; les entrées n'ont pas d'horodatage propre | RegistryHivesUser |
| pagefile.sys et swapfile.sys | C:\pagefile.sys | Des fragments de mémoire passée : commandes, URL, identifiants, traces de fichiers et processusAucun horodatage par fragment ; dates $SI du fichier (NTFS, UTC) modifiées en continu ; les dates éventuelles viennent du contenu des fragments | MemoryFiles |
| Programmes installés (clés Uninstall, MSI, AppX) | HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall | Quels logiciels ont été installés ou désinstallés, où, à peu près quand et, pour les MSI, par quel compteLastWrite des clés Uninstall (FILETIME, UTC), chaîne InstallDate (AAAAMMJJ, date locale sans heure), événements MsiInstaller (UTC), InstallDate d'Amcache | RegistryHivesSystem, RegistryHivesUser, EventLogs, Amcache |
| Rapports d'erreurs Windows (WER) | C:\ProgramData\Microsoft\Windows\WER\ReportArchive\<ReportFolder>\Report.wer | Un programme a tourné puis planté ou gelé, avec son chemin, l'heure et parfois son SHA-1EventTime et heure de démarrage de l'app (Report.wer) en FILETIME, UTC ; événements Application 1000/1001/1002 en UTC ; dates $SI des dossiers peu fiables | WER |
| RecentFileCache.bcf | C:\Windows\AppCompat\Programs\RecentFileCache.bcf | Exécutables lancés récemment sur un hôte Windows 7 / Server 2008 R2Aucun horodatage dans le fichier ; seule la date $SI de modification du .bcf (NTFS, UTC) date la dernière mise à jour | RecentFileCache |
| RunMRU | NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU | Un utilisateur a saisi ces commandes, chemins ou URL dans la boîte Exécuter, dans cet ordreLastWrite de la clé RunMRU en FILETIME, UTC, ne date que la commande la plus récente ; entrées plus anciennes non datées | RegistryHivesUser |
| ShimCache (AppCompatCache) | SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache | Un chemin a été vu par le moteur de compatibilité ; sous 7/8, exécution probableDate $SI de modification du fichier par entrée en FILETIME, UTC (pas une heure d'exécution) ; LastWrite de la clé SYSTEM = dernière écriture | RegistryHivesSystem |
| Sous-système Windows pour Linux (WSL) | HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss | Une distribution Linux a été installée pour un utilisateur, où se trouve son système de fichiers, et des binaires WSL ont été exécutésLastWrite des sous-clés Lxss (FILETIME, UTC), dates Prefetch/Amcache de wsl.exe (UTC), dates des inodes Linux dans la distribution (epoch Unix, UTC) | RegistryHivesUser, Prefetch, Amcache |
| SRUM (System Resource Usage Monitor) | C:\Windows\System32\sru\SRUDB.dat | Une application a tourné pour un utilisateur à une heure donnée, et ses octets envoyés et reçusTimeStamp en date OLE, UTC, fin d'une fenêtre d'environ une heure ; ConnectStartTime en FILETIME, UTC | SRUM |
| Syscache.hve | C:\System Volume Information\Syscache.hve | Un exécutable avec ce SHA-1 et cet identifiant MFT a été enregistré sur le volumeLastWrite de la clé d'enregistrement ObjectTable en FILETIME, UTC ; seule heure par enregistrement | Syscache |
| UserAssist | NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{GUID}\Count | Un utilisateur a lancé un programme ou raccourci via l'Explorateur, combien de fois, quandDernière exécution par entrée et LastWrite de la clé Count en FILETIME, UTC ; noms de valeurs encodés en ROT13 | RegistryHivesUser |
| Vidages mémoire (MEMORY.DMP, minidumps) | C:\Windows\MEMORY.DMP | L'état mémoire lors d'un plantage, le pilote ou processus fautif, et les dumps d'un attaquantHeure système de l'en-tête du dump en UTC ; horodatages NTFS du fichier (MEMORY.DMP écrit au redémarrage suivant le crash) ; événement System 1001 | MemoryFiles, WER |
Persistance
| Artefact | Emplacement | Prouve | KAPE / Velociraptor |
|---|---|---|---|
| Artefacts de stratégie de groupe | %SystemRoot%\System32\GroupPolicy\ | Quelles stratégies se sont appliquées à une machine ou un utilisateur, quand, et si une GPO a été arméeDates $SI/$FN de Registry.pol et des XML (NTFS UTC) ; LastWrite des clés History (UTC) ; versionNumber du gpttmpl | — |
| Clés Run et dossiers Démarrage | NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Run | Un programme a été configuré pour démarrer à l'ouverture de session, d'un ou de tous les utilisateursLastWrite des clés Run et heure de désactivation StartupApproved en FILETIME, UTC ; dates $SI/$FN des fichiers du dossier Startup, UTC | RegistryHivesUser, RegistryHivesSystem, StartupFolders |
| Persistance IFEO et Winlogon | SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\<exe> | Un lancement, une fin de processus ou une ouverture de session a été détourné vers un autre binaireLastWrite des clés IFEO, SilentProcessExit et Winlogon en FILETIME, UTC ; binaires d'accessibilité remplacés avec horodatages NTFS $SI/$FN | RegistryHivesSystem, RegistryHivesUser |
| Pilotes noyau (.sys, services de pilote, BYOVD) | C:\Windows\System32\drivers\*.sys | Un pilote noyau a été installé ou déclaré comme service, quand, depuis quel chemin, et si Windows l'a bloqué ou chargéLastWrite de la clé Services (FILETIME, UTC), événements 7045/4697 et CodeIntegrity (UTC), sections de setupapi.dev.log (heure locale), dates $SI/$FN du .sys | RegistryHivesSystem, EventLogs, Amcache, USBDevicesLogs |
| Référentiel WMI et SCCM RecentlyUsedApps | C:\Windows\System32\wbem\Repository\OBJECTS.DATA | Une persistance WMI sans fichier a été posée ; sur un client SCCM, quels programmes ont tourné et par quiAucune heure de création sur les abonnements ; dates $SI du dépôt (NTFS, UTC) ; LastUsedTime CCM en CIM DATETIME avec décalage UTC | WBEM, MOF, EventLogs |
| Ruches du registre | C:\Windows\System32\config\ | Configuration, persistance, comptes et activité par utilisateur, avec dates d'écritureLastWrite des clés en FILETIME, UTC (par clé, pas par valeur) ; dates dans les données de valeur variables selon l'artefact, parfois en heure locale | RegistryHives, RegistryHivesSystem, RegistryHivesUser |
| Services Windows | SYSTEM\ControlSet00x\Services\<ServiceName> | Un service ou pilote a été installé pour lancer un binaire, avec son compte et son mode de démarrageLastWrite de la clé du service en FILETIME, UTC ; TimeCreated des événements System 7045/7036 et Security 4697 en EVTX, UTC | RegistryHivesSystem, EventLogs |
| Tâches BITS (base qmgr) | C:\ProgramData\Microsoft\Network\Downloader\qmgr.db | Une tâche BITS a transféré un fichier depuis ou vers une URL, et peut lancer une commande à la finCréation/modification des tâches en FILETIME, UTC dans qmgr.db ; événements EVTX Bits-Client en UTC ; horodatages NTFS du fichier cible | BITS, EventLogs |
| Tâches planifiées | C:\Windows\System32\Tasks\<TaskName> | Une tâche a été enregistrée pour lancer une commande, par qui, sa création et sa dernière exécutionCréation et dernière exécution DynamicInfo en FILETIME, UTC ; LastWrite TaskCache, UTC ; Date RegistrationInfo du XML en ISO 8601, souvent sans fuseau | ScheduledTasks, RegistryHivesSystem, EventLogs |
Accès aux fichiers
| Artefact | Emplacement | Prouve | KAPE / Velociraptor |
|---|---|---|---|
| $LogFile (journal de transactions NTFS) | C:\$LogFile | Changements récents de métadonnées : créations, renommages, suppressions, $SIPas d'heure par enregistrement ; valeurs $SI/$FN embarquées en FILETIME, UTC ; l'ordre des LSN donne la séquence | $LogFile |
| Attributs d'index $I30 | <directory>\$I30 ($INDEX_ALLOCATION stream of each NTFS folder) | Un nom de fichier a existé dans un dossier, avec tailles et dates, même suppriméQuatre FILETIME (UTC) par entrée, reflétant souvent $SI ; entrées en slack figées à leur dernière écriture ; pas d'heure propre aux enregistrements INDX | — |
| Client de synchronisation OneDrive | C:\Users\<user>\AppData\Local\Microsoft\OneDrive\ | Quel compte cloud était lié et quels fichiers ont été synchronisés, envoyés ou suppriméslastChange de la base de synchro et notificationTime de SafeDelete en epoch Unix, UTC ; heures des entrées ODL ; LastWrite de la clé en FILETIME, UTC | OneDrive_Metadata, CloudStorage_OneDriveExplorer |
| Descripteurs de sécurité $Secure:$SDS | C:\$Secure:$SDS | Quel compte possède un fichier et quelles permissions (ACL) s'y appliquaientAucun dans $SDS ; dater les changements de droits via l'heure $SI de modification d'enregistrement et les enregistrements USN SECURITY_CHANGE, UTC | $SDS |
| Fichiers de raccourci LNK | C:\Users\<user>\AppData\Roaming\Microsoft\Windows\Recent\*.lnk | Un utilisateur a ouvert tel fichier ou dossier, sur quel volume ou partage, et quandCréation/modification NTFS du LNK (première/dernière ouverture par nom de fichier), UTC ; horodatages MAC de la cible en FILETIME, UTC ; dates DOS | LNKFilesAndJumpLists, RecentFolders |
| Fichiers du spouleur d'impression (.SPL et .SHD) | C:\Windows\System32\spool\PRINTERS\*.SPL, *.SHD | Un document a été imprimé (ou mis en file), par quel utilisateur, sur quelle imprimante, et à quoi il ressemblaitHeure de soumission dans le SHD (SYSTEMTIME, en général UTC mais à vérifier), horodatages NTFS des fichiers de spool, heure de l'événement 307 en UTC | — |
| Images disque montées (ISO, IMG, VHD, VHDX) | C:\Windows\System32\winevt\Logs\Microsoft-Windows-VHDMP-Operational.evtx | Un fichier image disque a été monté comme volume, quand, sous quelle lettre de lecteur, et quels fichiers de ce volume ont été ouverts ou exécutésÉvénements VHDMP et Partition (UTC), LastWrite des clés MountedDevices et MountPoints2 (FILETIME, UTC), données de cible et de volume des LNK et Jump Lists (UTC) | EventLogs, RegistryHivesSystem, RegistryHivesUser, LNKFilesAndJumpLists |
| Index Windows Search | C:\ProgramData\Microsoft\Search\Data\Applications\Windows\Windows.edb | Fichiers, e-mails et URL présents dans les zones indexées, avec métadonnées et extraitsHeure de collecte et dates de création/modification/accès indexées en FILETIME, UTC ; reflètent l'indexation, pas l'activité utilisateur | WindowsIndexSearch |
| Journal USN ($UsnJrnl:$J) | C:\$Extend\$UsnJrnl:$J | Quand un fichier a été créé, renommé, écrit, supprimé ou a vu ses attributs modifiésTimeStamp de chaque enregistrement en FILETIME, UTC ; les enregistrements BASIC_INFO_CHANGE donnent l'heure réelle d'un timestomping | $J |
| Jump Lists | C:\Users\<user>\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\ | Avec quelle application un fichier a été ouvert, quand et (Win10+) combien de foisDernier accès DestList par entrée en FILETIME, UTC ; horodatages de cible des LNK intégrés ; création/modification NTFS du fichier Jump List | JumpLists, LNKFilesAndJumpLists |
| Office MRU et Trust Records | NTUSER.DAT\Software\Microsoft\Office\<version>\<App>\File MRU | Un utilisateur a ouvert des documents Office (avec heures) et activé la modification ou les macrosDernière ouverture [T...] de File MRU en FILETIME hexadécimal, UTC ; 8 premiers octets de TrustRecords en FILETIME, UTC ; LastWrite de la clé | RegistryHivesUser |
| OpenSaveMRU et LastVisitedMRU | NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32 | Un utilisateur a choisi un fichier dans une boîte Ouvrir/Enregistrer, et quel programme a utilisé quel dossierLastWrite de chaque sous-clé en FILETIME, UTC, ne date que l'entrée la plus récente ; les shell items portent les dates DOS de l'élément | RegistryHivesUser |
| RecentDocs | NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs | Un utilisateur a ouvert récemment des fichiers et dossiers portant ces noms, dans cet ordreLastWrite de la clé et des sous-clés d'extension en FILETIME, UTC, ne date que l'entrée la plus récente de chaque liste ; autres entrées non datées | RegistryHivesUser |
| ShellBags | UsrClass.dat\Local Settings\Software\Microsoft\Windows\Shell\BagMRU | Un utilisateur a parcouru un dossier (local, USB, réseau, ZIP), même disparu depuisLastWrite des clés BagMRU en FILETIME, UTC (enfant le plus récent) ; les shell items portent les dates DOS du dossier, résolution 2 secondes | RegistryHivesUser |
| Table de fichiers maîtres ($MFT) | C:\$MFT | Un fichier ou dossier a existé à un chemin, avec tailles, dates et souvent suppression$SI et $FN contiennent chacun quatre FILETIME (MACB), UTC, précision 100 ns ; heure d'accès parfois désactivée ou différée jusqu'à 1 heure | $MFT |
| Thumbcache | C:\Users\<user>\AppData\Local\Microsoft\Windows\Explorer\thumbcache_*.db | Une image, vidéo ou document a existé et a été affiché en miniature pour cet utilisateurAucun horodatage par entrée (Windows 7+) ; seule la date $SI de modification de la base, NTFS, UTC | ThumbCache |
| Zone.Identifier (Mark of the Web) | <file>:Zone.Identifier (NTFS alternate data stream) | Un fichier vient d'Internet ou d'une autre zone, souvent avec la page et l'URL d'origineAucune date dans le flux ; dater via les dates de création $SI/$FN du fichier hôte et les enregistrements USN, UTC | $MFT |
USB et périphériques
| Artefact | Emplacement | Prouve | KAPE / Velociraptor |
|---|---|---|---|
| Historique des périphériques USB | SYSTEM\CurrentControlSet\Enum\USBSTOR | Quels supports USB ont été branchés, quand pour la première et la dernière fois, et par quiPropriétés 0064 à 0067 et LastWrite de MountPoints2 en FILETIME, UTC ; setupapi.dev.log en heure locale ; journaux d'événements en UTC | RegistryHivesSystem, RegistryHivesUser, USBDevicesLogs, EventLogs |
| Périphériques Bluetooth appairés | SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Devices\<MAC> | Quels appareils Bluetooth ont été appairés avec l'ordinateur, leurs noms et adresses MAC, et approximativement quand ils ont été vus pour la dernière foisDates de dernière écriture des clés et, sur certaines versions, valeurs REG_QWORD LastSeen/LastConnected, toutes en FILETIME UTC | KAPE: RegistryHivesSystem, EventLogs |
Réseau et accès distant
| Artefact | Emplacement | Prouve | KAPE / Velociraptor |
|---|---|---|---|
| Artefacts des navigateurs (Chrome, Edge, Firefox) | C:\Users\<user>\AppData\Local\Google\Chrome\User Data\<Profile>\History | Quelles URL l'utilisateur a visitées, recherchées et téléchargées, et quandTout en UTC : temps WebKit Chromium (microsecondes depuis 1601), PRTime Firefox (microsecondes depuis 1970), FILETIME de WebCacheV01.dat | WebBrowsers, BrowserCache |
| Cache bitmap RDP | %LOCALAPPDATA%\Microsoft\Terminal Server Client\Cache\ | Des fragments de ce qu'un utilisateur a vu sur des écrans distants lors de sessions RDPPas d'heure par tuile ; dates $SI des fichiers (NTFS, UTC) approximent les sessions ; dater via les événements RDPClient 1024/1102 | RDPCache |
| Journaux du pare-feu Windows | C:\Windows\System32\LogFiles\Firewall\pfirewall.log | Connexions autorisées ou bloquées (si la journalisation est active) et dates de modification des règles ou des profils du pare-feuColonnes date/heure de pfirewall.log en heure locale ; journaux d'événements en UTC (précision FILETIME) | WindowsFirewall, EventLogs |
| Journaux du serveur web IIS | C:\inetpub\logs\LogFiles\W3SVC<siteID>\u_exYYMMDD.log | Quelle IP cliente a demandé quelle URL, avec méthode, code de statut et user agent, pour chaque site IISColonnes date et time en UTC par défaut (format W3C), un fichier par jour | IISLogFiles |
| Messageries de bureau (Slack, Signal, WhatsApp…) | C:\Users\<user>\AppData\Roaming\<App>\ (Slack, Signal, discord, Telegram Desktop) | Un compte de messagerie utilisé sur ce PC, avec messages, contacts et fichiers en cacheSelon l'appli, tout en UTC : ts Slack (secondes epoch), millisecondes epoch Signal, ID snowflake et ISO 8601 Discord ; horodatages NTFS du cache | Slack, Signal, WhatsApp, WhatsApp_Media, Telegram, Discord |
| Microsoft Teams (client classique et nouveau client) | C:\Users\<user>\AppData\Local\Packages\MSTeams_8wekyb3d8bbwe\LocalCache\Microsoft\MSTeams\ | Conversations, appels, réunions et partages de fichiers mis en cache par TeamscomposeTime et originalArrivalTime en ISO 8601, UTC ; début/fin d'appel en UTC ; lignes de log dont le fuseau varie selon le format | MicrosoftTeams |
| Outils d'accès distant (RMM) | %ProgramData%\AnyDesk\ (et équivalents par outil) | Qu'un outil d'accès distant a tourné, avec dates de connexion, IDs de pair et IP distantesLignes de journal texte propres à chaque outil, souvent en heure locale (parfois UTC) ; dates $SI en NTFS UTC | — |
| Profils réseau (NetworkList) | SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles | Les réseaux (SSID, domaine, MAC de passerelle) rejoints, première et dernière connexionDateCreated et DateLastConnected en SYSTEMTIME 16 octets, heure locale ; LastWrite de la clé du profil en FILETIME, UTC ; événements WLAN en UTC | RegistryHivesSystem, EventLogs |
| Serveur et client OpenSSH | C:\Windows\System32\winevt\Logs\OpenSSH%4Operational.evtx | Connexions SSH acceptées et échouées (utilisateur, IP source, méthode d'authentification) et clés donnant un accès SSH persistantTimeCreated des événements en UTC ; horodatages système de fichiers d'authorized_keys et known_hosts en UTC (NTFS) | — |
| Traces de connexions RDP | C:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-*.evtx | Qui s'est connecté en RDP, depuis quelle IP, quand, et vers quels hôtes un utilisateur s'est connectéSystemTime des événements en UTC ; LastWrite des clés client Servers et Default en FILETIME, UTC ; modification $SI de Default.rdp, UTC | EventLogs-RDP, RegistryHivesUser |
Activité utilisateur
| Artefact | Emplacement | Prouve | KAPE / Velociraptor |
|---|---|---|---|
| Base des notifications (wpndatabase.db) | C:\Users\<user>\AppData\Local\Microsoft\Windows\Notifications\wpndatabase.db | Quelle application a affiché quel texte de notification à l'utilisateur, et quandArrivalTime et ExpiryTime par notification en FILETIME, UTC ; horodatages des canaux push et des handlers ; heure d'en-tête de l'ancien appdb.dat | WindowsNotificationsDB |
| CapabilityAccessManager (caméra, micro, position) | SOFTWARE\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore | Quel programme a utilisé la webcam, le micro ou la position, et de quand à quandLastUsedTimeStart et LastUsedTimeStop par application en FILETIME, UTC (dernière session seulement) ; enregistrements de la base Windows 11 | CapabilityAccessManager, RegistryHivesSystem, RegistryHivesUser |
| DPAPI et Gestionnaire d'identifiants | %APPDATA%\Microsoft\Protect\<SID>\ | Quels secrets un utilisateur a stockés (RDP, navigateur, Wi-Fi, applis) et, hors ligne, leur clairDates $SI/$FN des blobs et clés maîtresses (NTFS, UTC) ; les fichiers de clé GUID portent une date de modification interne | — |
| Fichiers de données Outlook (PST et OST) | C:\Users\<user>\AppData\Local\Microsoft\Outlook\*.ost | Quels e-mails et pièces jointes un utilisateur a reçus, envoyés, ouverts ou supprimés, et quandPropriétés MAPI des messages (envoi, remise, création, modification) en FILETIME UTC ; les champs Date des en-têtes portent le décalage de l'expéditeur | KAPE: OutlookPSTOST |
| Historique du presse-papiers | C:\Users\<user>\AppData\Local\ConnectedDevicesPlatform\<id>\ActivitiesCache.db | Texte copié, application source et heure, si la synchronisation cloud était activeStartTime, ExpirationTime, LastModifiedTime du presse-papiers cloud en secondes epoch Unix, UTC ; éléments épinglés datés par metadata.json et le dossier | WindowsTimeline |
| Notepad TabState (Windows 11) | C:\Users\<user>\AppData\Local\Packages\Microsoft.WindowsNotepad_8wekyb3d8bbwe\LocalState\TabState\*.bin | Le texte saisi ou collé dans le Bloc-notes, y compris jamais enregistré, et les fichiers qui étaient ouvertsLes onglets liés à un fichier contiennent sa date de dernière écriture (FILETIME UTC, encodage de longueur variable selon les travaux de la communauté) ; horodatages NTFS des .bin en UTC | — |
| NTDS.dit et contrôleurs de domaine | C:\Windows\NTDS\ntds.dit | Comptes de domaine, appartenances aux groupes, historique des mots de passe et (hors ligne) tous les hashsAttributs AD (pwdLastSet, lastLogonTimestamp) en FILETIME UTC ; réserves de réplication ; dates ESENT dans le journal Application | — |
| Ruche SAM et comptes utilisateurs | C:\Windows\System32\config\SAM | Les comptes locaux existants, leurs connexions et changements de mot de passe, et leurs groupesDernière ouverture de session, dernier changement de mot de passe et dernier échec en FILETIME, UTC (valeur F) ; LastWrite des clés Users et Names, UTC | RegistryHivesSystem |
| Sticky Notes (plum.sqlite et StickyNotes.snt) | C:\Users\<user>\AppData\Local\Packages\Microsoft.MicrosoftStickyNotes_8wekyb3d8bbwe\LocalState\plum.sqlite | Ce qu'un utilisateur a écrit dans ses notes et quand chacune a été créée ou modifiéeCreatedAt, UpdatedAt et DeletedAt en ticks .NET, UTC (pas FILETIME) ; dates de stockage des anciens .snt en FILETIME, UTC | MicrosoftStickyNotes |
| TypedPaths et WordWheelQuery | NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths | Un utilisateur a saisi un chemin ou recherché un terme dans l'ExplorateurLastWrite des clés TypedPaths et WordWheelQuery en FILETIME, UTC, ne date que l'entrée la plus récente | RegistryHivesUser |
| Windows Recall (instantanés des PC Copilot+) | C:\Users\<user>\AppData\Local\CoreAIPlatform.00\UKP\{GUID}\ukg.db | Ce qui était affiché à l'écran à un instant donné : application, titre de fenêtre, texte visible et capture d'écranHeure de capture de chaque instantané dans la base (millisecondes depuis l'époque Unix dans la préversion, UTC) ; formats ultérieurs non vérifiés | — |
| Windows Timeline (ActivitiesCache.db) | C:\Users\<user>\AppData\Local\ConnectedDevicesPlatform\<account>\ActivitiesCache.db | Applications utilisées, fichiers et URL ouverts par un utilisateur, et durée d'usageStartTime, EndTime, LastModifiedTime et ExpirationTime en secondes epoch Unix, UTC | WindowsTimeline |
Anti-forensique et suppression
| Artefact | Emplacement | Prouve | KAPE / Velociraptor |
|---|---|---|---|
| Clichés instantanés de volume (VSS) | C:\System Volume Information\{GUID}{3808876b-c176-4e48-b7ae-04046e6cc752} | Versions antérieures de fichiers, ruches et journaux, et suppression de clichésHeure de création du snapshot en FILETIME, UTC dans le catalogue (vssadmin affiche l'heure locale) ; les fichiers gardent leurs dates NTFS UTC | — |
| Corbeille | C:\$Recycle.Bin\<SID>\$I* | Quel utilisateur a supprimé quel fichier, depuis quel chemin, quand, et sa tailleHeure de suppression dans $I ou INFO2 en FILETIME, UTC ; la création du $I y correspond ; $R garde les dates $SI du fichier d'origine, UTC | RecycleBin, RecycleBin_InfoFiles, RecycleBin_DataFiles |
KAPE / Velociraptor : noms de cibles issus des dépôts KapeFiles et Windows.Triage.Targets.