Fichiers de données Outlook (PST et OST)

Présentation

Outlook classique (d'Outlook 2003 à Microsoft 365 Apps) stocke la messagerie dans deux formats de dossiers personnels :

• PST (Personal Storage Table) : archive autonome utilisée pour les comptes POP/IMAP, les exports et les archives utilisateur. Elle est portable et s'ouvre sur n'importe quelle machine.
• OST (Offline Storage Table) : cache local d'une boîte Exchange ou Microsoft 365 en mode Exchange mis en cache. Il est lié au profil Outlook qui l'a créé, mais les outils forensiques le lisent directement.

Les deux contiennent messages, pièces jointes, calendrier, contacts, tâches et arborescence de dossiers. Dans les affaires d'hameçonnage et de fuite de données, c'est la source principale pour savoir ce que l'utilisateur a réellement reçu, ouvert et transféré.

Emplacement

Un PST peut se trouver n'importe où, y compris sur un support amovible ou un partage réseau. Les valeurs de Search\Catalog et les clés de profil révèlent souvent des chemins de PST qui n'existent plus sur le disque.

Le nouvel Outlook pour Windows (olk.exe) est une application basée sur WebView2 qui n'utilise pas d'OST. Son cache local se trouve sous %LOCALAPPDATA%\Microsoft\Olk\, apparemment sous forme de stockage de type Chromium (IndexedDB, cache). Considérez cette structure comme dépendante de la version et vérifiez-la sur une machine de référence.

Ce que l'artefact prouve

• Prouve qu'un message était présent dans la boîte, avec expéditeur, destinataires, objet, corps, en-têtes et pièces jointes.
• Prouve le traitement par l'utilisateur : indicateur de lecture, état de réponse ou de transfert, dossier de rangement (y compris Éléments supprimés) et date de dernière modification.
• Un fichier dans Content.Outlook prouve que la pièce jointe a été ouverte (ou prévisualisée avec une application externe) depuis Outlook sur cette machine.
• Il ne prouve pas qu'un humain a lu le message : le volet de lecture, les règles et les clients mobiles modifient tous l'indicateur de lecture.
• Un OST n'est qu'un cache : un élément absent peut encore exister côté serveur (Éléments récupérables, conservation pour litige). Demandez un export côté serveur si possible.

Champs clés

Horodatages

Rétention et effacement

• Un PST subsiste jusqu'à la suppression du fichier. Les éléments supprimés d'Éléments supprimés quittent l'arborescence, mais leurs blocs survivent souvent dans le PST jusqu'au compactage ; pffexport peut en récupérer une partie.
• Un OST ne contient que la fenêtre « courrier à conserver hors connexion ». Dans les versions récentes, la valeur par défaut dépend de la taille du disque (en général entre un mois et un an) : le courrier plus ancien peut n'exister que sur le serveur.
• Exchange et Microsoft 365 conservent les éléments définitivement supprimés dans le dossier Éléments récupérables côté serveur pendant 14 jours par défaut (configurable, davantage en cas de conservation).
• Les fichiers de Content.Outlook sont normalement supprimés à la fermeture de la pièce jointe, mais restent souvent après un plantage ou si le fichier était encore ouvert à la fermeture d'Outlook.

Collecte

Les fichiers de données sont verrouillés tant qu'Outlook tourne. Utilisez un outil de triage avec accès brut ou un cliché instantané.

# Cible KAPE
kape.exe --tsource C: --tdest E:\case --target OutlookPSTOST
# Localiser tous les PST/OST et le nom du dossier de cache des pièces jointes
Get-ChildItem C:\Users -Recurse -Include *.pst,*.ost -ErrorAction SilentlyContinue
reg query "HKCU\Software\Microsoft\Office\16.0\Outlook\Security" /v OutlookSecureTempFolder
reg query "HKCU\Software\Microsoft\Office\16.0\Outlook\Search\Catalog"

Collectez aussi Content.Outlook, NTUSER.DAT et le dossier Téléchargements.

Outils d'analyse

• libpff (Joachim Metz, open source) : pffinfo et pffexport -m all -f all fichier.pst exportent éléments, pièces jointes et éléments récupérés. La prise en charge de la variante d'OST à pages de 4 Ko écrite par Outlook 2013+ a longtemps été limitée ; testez sur votre version.
• XstReader (open source) : interface Windows pour parcourir PST/OST, afficher les en-têtes et exporter les pièces jointes.
• readpst (libpst) : PST vers mbox/EML sous Linux.
• Commerciaux : Aid4Mail, Forensic Email Collector, Magnet AXIOM, X-Ways, Intella et Nuix traitent PST/OST à grande échelle avec recherche et dédoublonnage.

Conseils d'investigation

• Démarche hameçonnage : retrouvez le leurre par objet ou expéditeur, extrayez les en-têtes (chaîne Received, SPF/DKIM/DMARC, Message-ID), exportez la pièce jointe et calculez son hash, puis cherchez le même nom de fichier dans Content.Outlook, Téléchargements et les flux Zone.Identifier pour prouver l'ouverture. Rebondissez vers les fichiers LNK, les enregistrements de confiance Office (macros activées) et le Prefetch de l'application utilisée.
• La présence de la Mark of the Web sur une pièce jointe enregistrée ou ouverte dépend de la version d'Outlook et de la façon dont elle a été enregistrée : son absence ne prouve pas que le fichier vient d'ailleurs.
• Vérifiez les règles et transferts Outlook (stockés dans la boîte) pour la persistance d'une compromission de messagerie professionnelle.
• Plusieurs .ost pour un même compte signifient souvent que le profil a été recréé ; l'ancien OST peut encore contenir du courrier supprimé depuis.
• Si l'OST est verrouillé ou corrompu, l'index Windows Search peut encore contenir le texte indexé des messages.