Images disque montées (ISO, IMG, VHD, VHDX)

Présentation

Depuis Windows 8, un double-clic sur un fichier .iso, .img, .vhd ou .vhdx le monte sous une nouvelle lettre de lecteur (les VHD/VHDX pouvaient déjà être attachés via la Gestion des disques sous Windows 7). Les campagnes d'hameçonnage en ont largement abusé à partir de 2019 : un ISO joint à un courriel ou téléchargé via un lien transporte un raccourci, une DLL et un leurre, et pendant des années les fichiers qu'il contenait n'héritaient pas du Mark-of-the-Web du conteneur. Le montage est assuré par le pilote VHDMP (miniport de disque virtuel) et ressemble, pour le reste de Windows, au branchement d'un support amovible. C'est pourquoi l'enquête emprunte l'essentiel de sa méthode à l'analyse des périphériques USB.

Emplacement

Ce que l'artefact prouve

• Montage : les événements VHDMP donnent le chemin complet du fichier image exposé comme disque, et le moment où il a été détaché.
• Lettre de lecteur et volume : MountedDevices relie \DosDevices\E: à un périphérique Msft Virtual DVD-ROM ou Msft Virtual Disk, et MountPoints2 indique quel Explorateur utilisateur a vu le volume.
• Accès et exécution : les LNK et Jump Lists enregistrent des cibles sur cette lettre avec le numéro de série du volume et le nom de l'image ; le Prefetch d'une charge utile liste un chemin de périphérique CD-ROM ou de volume virtuel.

Il ne prouve pas que l'utilisateur a ouvert un fichier de l'image, et un événement de montage seul ne dit pas qui a double-cliqué. L'attribution vient de MountPoints2, des LNK et Jump Lists de l'utilisateur, et du processus qui a effectué le montage. Les outils tiers (Daemon Tools, extraction 7-Zip) contournent complètement VHDMP.

Champs clés

Horodatages

• Événements VHDMP : UTC. Les identifiants couramment observés sont 1 (disque virtuel exposé / attaché) et 2 (retiré / détaché), d'autres comme 12 et 22 à 25 couvrant l'ouverture de handles et le cycle de vie. Identifiants et libellés diffèrent selon les versions : vérifiez sur un système de référence et lisez le texte de l'événement.
• LastWrite de MountedDevices / MountPoints2 (FILETIME, UTC) : dernière modification de la clé, proche de l'heure de montage lors du premier montage. Le montage ultérieur d'une autre image sur la même lettre écrase la valeur \DosDevices.
• Fichiers LNK : la création du .lnk dans Recent marque la première ouverture ; les dates de cible intégrées viennent du système de fichiers de l'image, souvent l'heure de fabrication par l'attaquant, ce qui est en soi un renseignement utile.
• Le fichier image : dates $SI et $FN dans la $MFT et flux Zone.Identifier donnent l'heure et la source du téléchargement.

Rétention et effacement

Le journal VHDMP Operational est petit (souvent environ 1 Mo) et s'écrase vite sur les hôtes qui utilisent des VHDX pour les profils FSLogix ou Hyper-V. MountedDevices conserve indéfiniment les entrées de GUID de volume, sauf nettoyage. Détacher l'image (événement 2) ou supprimer le .iso libère la lettre, mais pas les LNK, les entrées de Jump Lists ni le Prefetch. La suppression de l'image laisse son nom et sa date de suppression dans le journal USN.

Collecte

Cibles KAPE EventLogs, RegistryHivesSystem, RegistryHivesUser et LNKFilesAndJumpLists, plus $MFT pour le fichier image. Sur un système actif :

Get-WinEvent -LogName 'Microsoft-Windows-VHDMP-Operational' -ErrorAction SilentlyContinue |
  Select-Object TimeCreated, Id, Message | Export-Csv E:\case\vhdmp.csv -NoTypeInformation
Get-WinEvent -LogName 'Microsoft-Windows-Partition/Diagnostic' -ErrorAction SilentlyContinue |
  Select-Object TimeCreated, Id | Export-Csv E:\case\partition.csv -NoTypeInformation
Get-ChildItem -Path C:\Users\*\Downloads, C:\Users\*\AppData\Local\Temp -Include *.iso,*.img,*.vhd,*.vhdx -Recurse -ErrorAction SilentlyContinue |
  ForEach-Object { $_.FullName; Get-Content -Path $_.FullName -Stream Zone.Identifier -ErrorAction SilentlyContinue }

reg query HKLM\SYSTEM\MountedDevices
reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2

Conservez le fichier image lui-même : c'est le conteneur de la charge utile, et vous pourrez le monter en lecture seule en laboratoire pour voir exactement ce que l'utilisateur a vu.

Outils d'analyse

• EvtxECmd pour les événements VHDMP, Partition/Diagnostic et Kernel-PnP.
• Registry Explorer ou RegRipper (plugins mountdev, mp2) pour MountedDevices et MountPoints2.
• LECmd et JLECmd pour lister les cibles dont le type de lecteur est CD-ROM ou dont le numéro de série correspond à l'image.
• PECmd pour repérer les charges utiles lancées depuis des chemins \VOLUME{...} ou \DEVICE\CDROM*.
• MFTECmd pour le fichier image et son flux de données alternatif Zone.Identifier.

Conseils d'investigation

• Reconstituez la chaîne : téléchargement (historique du navigateur, Zone.Identifier) → montage (VHDMP 1, MountPoints2) → ouverture (LNK en DRIVE_CDROM) → exécution (Prefetch, 4688, Sysmon) → détachement (VHDMP 2).
• Mark-of-the-Web : les fichiers contenus dans des ISO et VHD ne recevaient pas le MotW avant les mises à jour Microsoft de novembre 2022 (CVE-2022-41091). Les versions corrigées propagent la zone du conteneur aux fichiers ouverts depuis une image ISO, mais la couverture des autres formats et des outils tiers varie. N'attendez pas de flux Zone.Identifier sur les fichiers du volume monté : ISO9660/UDF ne gère pas les ADS, examinez donc le conteneur.
• Un Prefetch de rundll32.exe, mshta.exe ou cmd.exe qui référence un fichier sur un chemin de périphérique CD-ROM est un indicateur fort d'exécution livrée par ISO.
• Sur les hôtes VDI et Citrix, les montages VHDX sont routiniers (conteneurs de profils FSLogix) : filtrez ces chemins avant de chasser.
• Comparez le nom de volume et la date de création de l'ISO relevés dans les LNK entre plusieurs machines pour rattacher les infections à une même campagne.