Persistance IFEO et Winlogon

Présentation

Cette fiche regroupe des persistances par le registre qui détournent un comportement natif de Windows au lieu d'ajouter une entrée de démarrage visible. Tout se trouve dans la ruche SOFTWARE (plus une clé Winlogon propre à l'utilisateur) et leur mise en place exige des droits d'administrateur.

• Image File Execution Options (IFEO) est une fonction de débogage : une valeur Debugger sous IFEO\<nom>.exe fait lancer le « débogueur » à la place du programme, avec le chemin du programme en argument. La faire pointer vers une charge détourne chaque lancement de cet exécutable.
• La surveillance des fins de processus silencieuses (Windows 7 et suivants) lance un MonitorProcess quand un programme surveillé se termine.
• Les portes dérobées d'accessibilité remplacent ou détournent sethc.exe, utilman.exe et consorts : une combinaison de touches sur l'écran d'ouverture de session ouvre alors un shell SYSTEM.
• Les valeurs Winlogon (Userinit, Shell et, sous XP, Notify) définissent ce qui s'exécute à chaque ouverture de session.
• AppInit_DLLs charge des DLL dans chaque processus qui charge user32.dll.

Emplacement

Ce que l'artefact prouve

• Un détournement a été configuré : l'exécutable visé et le binaire ou la commande qui le remplace ou le suit.
• Un niveau de privilège : écrire ces clés (et remplacer des binaires de System32) exige des droits administrateur ou SYSTEM ; une trouvaille implique donc un accès privilégié préalable.
• Un accès avant ouverture de session pour les portes dérobées d'accessibilité : quiconque atteint l'écran d'ouverture de session, en local ou en RDP sans authentification au niveau du réseau (NLA), obtient un processus SYSTEM.
• Elle ne prouve pas que le détournement s'est déclenché. Cherchez l'exécution de la charge et, pour l'accessibilité, un sethc.exe/utilman.exe qui lance cmd.exe.

Champs clés

Horodatages

Rétention et effacement

• Les valeurs de registre restent jusqu'à leur suppression ; d'anciennes valeurs peuvent survivre dans les journaux de transactions de la ruche, les clichés instantanés et l'espace non alloué de la ruche.
• Un binaire d'accessibilité remplacé peut être restauré par la protection des fichiers Windows ou le vérificateur de fichiers système : un fichier sain aujourd'hui n'exclut pas un abus passé ; cherchez renommages et écrasements dans System32 via le journal USN.
• Quand un processus surveillé se termine silencieusement, le journal Application enregistre une entrée de la source Process Exit Monitor.
• ReportingMode 0x2 avec LocalDumpFolder est aussi détourné pour faire écrire par Windows un dump mémoire de lsass.exe ; une clé SilentProcessExit\lsass.exe est une preuve de vol d'identifiants.

Collecte

• Cible KAPE : RegistryHivesSystem (SOFTWARE) et RegistryHivesUser (Winlogon par utilisateur). Il n'existe pas de cible dédiée ; ces cibles ne collectent pas les binaires d'accessibilité : calculez leur hash depuis l'image ou ajoutez une collecte de fichiers de System32.
• Velociraptor (Windows.Triage.Targets) : RegistryHivesSystem, RegistryHivesUser. En direct : Windows.Persistence.Debug (Debugger IFEO) et Windows.Persistence.SilentProcessExit.
• Commandes natives :

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" /s /v Debugger
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit" /s
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /v AppInit_DLLs
certutil -hashfile C:\Windows\System32\sethc.exe SHA256

Outils d'analyse

• Registry Explorer / RECmd (Eric Zimmerman) : examen des clés et export via les fichiers batch communautaires.
• RegRipper : imagefile (Debugger IFEO, WOW6432Node compris), winlogon_tln (alerte sur un Userinit ou un Shell non standard) et appinitdlls.
• Autoruns (Sysinternals, gratuit) : onglets Image Hijacks, Winlogon et AppInit, en direct ou hors ligne. Oddvar Moe a montré en 2018 qu'Autoruns n'affichait pas alors la persistance GlobalFlag/SilentProcessExit : contrôlez ces clés directement.
• Velociraptor : Windows.Persistence.Debug, Windows.Persistence.SilentProcessExit.
• Plaso : plugin de registre winlogon.

Conseils d'investigation

• Listez toutes les sous-clés IFEO qui ont une valeur Debugger ; les binaires d'accessibilité et les outils de sécurité sont des cibles fréquentes. L'option « Replace Task Manager » de Process Explorer pose un Debugger légitime sur taskmgr.exe : vérifiez la cible de la valeur.
• Contrôlez le bit 0x200 des valeurs GlobalFlag et associez chacune à une sous-clé SilentProcessExit.
• Calculez le hash de sethc.exe, utilman.exe, osk.exe, Magnify.exe, Narrator.exe, DisplaySwitch.exe et AtBroker.exe : un hash identique à celui de cmd.exe ou explorer.exe, ou une ressource de version incohérente, trahit un binaire remplacé.
• Cherchez un Userinit à plusieurs entrées et un Shell différent de explorer.exe, dans HKLM comme dans le NTUSER.DAT de chaque utilisateur.
• Un LoadAppInit_DLLs à 1 sur une machine en Secure Boot reste inopérant mais révèle une intention.
• Confirmez l'exécution par le Prefetch de la charge, les créations de processus 4688 du journal Security (si audité) et, pour les abus de fin silencieuse, WER ou les fichiers de dump. Les charges sont souvent des LOLBins.