OneDrive : fiche forensique

Présentation

OneDrive est intégré à Windows 10 et 11 et constitue l'emplacement par défaut des documents des utilisateurs Microsoft 365. Le client de synchronisation (OneDrive.exe) tourne pour chaque utilisateur et laisse trois types de traces : la configuration du compte dans le registre de l'utilisateur, une base de métadonnées décrivant chaque fichier et dossier connu du client (y compris ceux qui n'existent que dans le cloud) et des journaux binaires détaillés de ses opérations.

OneDrive est donc une source clé dans les affaires de vol de données : il montre quel compte personnel ou professionnel était lié, ce qui a été synchronisé sur la machine, et quand des fichiers ont été envoyés, téléchargés ou supprimés.

Emplacement

Élément	Chemin	Remarques
Configuration du compte	`NTUSER.DAT\Software\Microsoft\OneDrive\Accounts\Personal` et `...\Accounts\Business1` (`Business2`…)	`UserFolder`, `UserEmail`, `cid`/`UserCid` ; les sous-clés `Tenants` listent les bibliothèques synchronisées et les dossiers partagés
Paramètres	`%LOCALAPPDATA%\Microsoft\OneDrive\settings\Personal\` et `settings\Business1\`	`<CID>.ini`, `<CID>.dat` et `<CID>.dat.previous` (anciens clients)
Base de synchronisation	`settings\<compte>\SyncEngineDatabase.db`	SQLite, utilisée par les clients actuels à la place de `<CID>.dat`
Base des suppressions	`settings\<compte>\SafeDelete.db`	SQLite, éléments envoyés à la Corbeille par le client
Journaux	`%LOCALAPPDATA%\Microsoft\OneDrive\logs\Common\`, `logs\Personal\`, `logs\Business1\`	`.odl`, `.odlgz`, `.odlsent`, `.aodl` ; `general.keystore` pour déchiffrer les chaînes masquées
Fichiers synchronisés	`%USERPROFILE%\OneDrive\` ou `%USERPROFILE%\OneDrive - <Organisation>\`	Le chemin réel figure dans `UserFolder`

Ce que l'artefact prouve

Lien de compte : quel compte Microsoft (adresse e-mail, CID) ou quel tenant était connecté sous cet utilisateur Windows, et où il se synchronisait.
Inventaire cloud : noms, tailles, empreintes et état des fichiers et dossiers du compte, même jamais téléchargés (espaces réservés des fichiers à la demande).
Activité : les journaux ODL consignent envois, téléchargements, renommages, suppressions et sessions de synchronisation.
Suppressions : SafeDelete.db et la Corbeille montrent les fichiers supprimés localement par le client.
L'artefact ne montre pas l'activité réalisée uniquement sur le web (OneDrive dans un navigateur) ou depuis un autre appareil, sauf sous forme de changements synchronisés ensuite. Utilisez pour cela les journaux d'audit Microsoft 365.

Champs clés

Source	Champ	Signification
Registre `Accounts\<compte>`	`UserFolder`	Racine locale du dossier synchronisé
Registre `Accounts\<compte>`	`UserEmail`, `cid`/`UserCid`	Identité du compte ; le CID nomme aussi les fichiers de paramètres
`SyncEngineDatabase.db` → `od_ClientFile_Records`	`fileName`, `resourceID`, `size`, `lastChange`, `fileStatus`, `sharedItem`, `localHashDigest`	Une ligne par fichier ; `fileStatus` distingue fichiers locaux, en ligne uniquement et exclus
`SyncEngineDatabase.db` → `od_ClientFolder_Records`	`folderName`, `resourceID`, `folderStatus`	Arborescence des dossiers
`SyncEngineDatabase.db` → `od_GraphMetadata_Records`	Créé par / modifié par	Qui a créé et modifié en dernier le fichier dans le cloud
`SyncEngineDatabase.db` → `od_HydrationData`	Première hydratation	Premier téléchargement sur le poste d'un fichier en ligne uniquement
`SafeDelete.db` → `items_sent_to_recycle_bin`	`itemName`, `notificationTime`	Élément supprimé et moment de son envoi à la Corbeille
Entrées des journaux ODL	Horodatage, fichier de code, fonction, paramètres	Trace opération par opération du client

Horodatages

Horodatage	Positionné quand	Format	Pièges
`lastChange` (`od_ClientFile_Records`)	Dernier changement enregistré par le client pour l'élément	Epoch Unix, UTC	Reflète l'état de synchronisation, pas forcément l'heure de modification par l'utilisateur
`notificationTime` (`SafeDelete.db`)	Envoi de l'élément à la Corbeille par le client	Epoch Unix, UTC	À rapprocher du fichier `$I` de la Corbeille
Heure des entrées ODL	Écriture de la ligne de journal	Stockée dans chaque entrée	Les journaux tournent et les anciens sont compressés en `.odlgz` ; vérifiez le fuseau appliqué par votre parseur
Dernière écriture de la clé	Mise à jour de la clé du compte	FILETIME, UTC	Mise à jour à chaque écriture du client dans la clé, pas seulement à la connexion
Dates des fichiers réservés	Synchronisation depuis le cloud	NTFS, UTC	Peuvent provenir de la copie cloud, pas d'une activité locale

Rétention et effacement

La base de synchronisation est réécrite en permanence ; les éléments retirés en disparaissent : conservez les copies antérieures issues des clichés instantanés.
Les journaux ODL tournent et sont compressés ; seul un historique limité reste sur le disque.
Depuis avril 2022 environ, les chaînes sensibles des journaux ODL sont chiffrées en AES avec la clé de general.keystore (les anciennes versions utilisaient le dictionnaire ObfuscationStringMap.txt). Collectez le keystore avec les journaux.
Dissocier le compte ou désinstaller OneDrive supprime une grande partie de settings\ ; les clés de registre et les journaux survivent souvent. La déconnexion ne supprime pas les fichiers synchronisés.
Avec les fichiers à la demande (Windows 10 1709 et suivants), un fichier visible dans le dossier n'a peut-être jamais été présent sur le disque : vérifiez fileStatus ou les données d'hydratation avant d'affirmer que l'utilisateur en avait une copie locale.

Collecte

Cible KAPE : OneDrive_Metadata (tout le dossier %LOCALAPPDATA%\Microsoft\OneDrive) ; CloudStorage_OneDriveExplorer y ajoute RegistryHivesUser et RecycleBin pour OneDriveExplorer. OneDrive_UserFiles collecte les fichiers synchronisés eux-mêmes.
Velociraptor (Windows.Triage.Targets) : OneDrive_Metadata, CloudStorage_OneDriveExplorer.
Commandes natives : arrêtez OneDrive ou copiez depuis un cliché instantané (les bases sont ouvertes pendant l'exécution).

robocopy C:\Users\alice\AppData\Local\Microsoft\OneDrive E:\case\OneDrive /E /COPY:DAT
reg query "HKU\<SID>\Software\Microsoft\OneDrive\Accounts" /s

Outils d'analyse

OneDriveExplorer (Brian Maloney, open source) : reconstruit l'arborescence OneDrive à partir de <CID>.dat ou de SyncEngineDatabase.db, y ajoute registre, Corbeille et journaux ODL, et exporte en CSV, JSON ou HTML.
odl.py (Yogesh Khatri, open source) : analyse les journaux .odl, .odlgz, .odlsent et .aodl, et déchiffre les chaînes avec general.keystore ou les désobscurcit avec l'ancien dictionnaire.
Registry Explorer / RECmd (Eric Zimmerman) : examen des clés OneDrive\Accounts dans NTUSER.DAT.
DB Browser for SQLite : requêtes directes sur SyncEngineDatabase.db et SafeDelete.db.

Conseils d'investigation

Un compte personnel (Accounts\Personal) sur un portable d'entreprise est un canal d'exfiltration classique : listez ses fichiers et cherchez les envois dans les journaux ODL sur la période concernée.
Corrélez les envois avec les octets émis par OneDrive.exe dans SRUM et avec les entrées du journal USN pour les fichiers copiés dans le dossier synchronisé.
Les fichiers en ligne uniquement portent des métadonnées cloud ; od_HydrationData montre quand l'un d'eux a été ouvert pour la première fois sur ce poste.
Des suppressions massives dans SafeDelete.db et la Corbeille peuvent signaler de l'anti-forensique ou un rançongiciel.
Vérifiez aussi le côté web : les artefacts des navigateurs montrent l'accès à OneDrive ou SharePoint dans un navigateur, et les journaux d'audit Microsoft 365 couvrent l'activité des autres appareils.

Client de synchronisation OneDrive

Outils