Fichiers PE (exécutables Windows)

Présentation

Chaque exécutable, DLL, pilote, écran de veille et élément du Panneau de configuration Windows utilise le format Portable Executable (PE). Les artefacts d'exécution (Prefetch, Amcache, ShimCache) disent qu'un chemin a tourné ou existé ; le fichier PE lui-même dit ce que c'est. Un tri statique de l'en-tête, des imports, des ressources et de la signature répond à la plupart des premières questions sans exécuter l'échantillon : outil légitime renommé, binaire signé d'un éditeur, ou inconnu compressé ?

Emplacement

Ce que l'artefact prouve

• L'identité : les hash identifient le fichier exact ; l'imphash et le hash de l'en-tête Rich regroupent les compilations apparentées d'une même famille de malware ou d'outil.
• L'origine : informations de version, signature Authenticode, signataire du certificat et chemin PDB montrent qui l'a compilé ou signé.
• Le renommage : un OriginalFilename / InternalName différent du nom sur disque révèle un outil renommé (par exemple un svchost.exe qui est en réalité rclone.exe).
• Les capacités : imports, chaînes et règles (capa, YARA) indiquent ce que le code peut faire (réseau, injection, accès aux identifiants).
• Il ne prouve pas l'exécution ; celle-ci vient des artefacts d'exécution.

Champs clés

Horodatages

Rétention et effacement

• Les attaquants suppriment leurs outils après usage ; récupérez-les dans la Corbeille, les clichés instantanés, l'espace non alloué, la mémoire ou la quarantaine EDR/antivirus.
• Si seul le hash subsiste (Amcache), recherchez-le dans les sources de renseignement et sur tout le parc.

Collecte

• KAPE : aucune cible ne collecte par défaut des binaires arbitraires ; ajoutez les chemins trouvés via une cible personnalisée ou copiez-les avec un outil à accès brut.
• Velociraptor (Windows.Triage.Targets) : PrefetchBinaries collecte les binaires référencés par les fichiers Prefetch ; Windows.Search.FileFinder et Windows.Detection.BinaryHunter en localisent d'autres.
• Commandes natives :

Get-FileHash C:\Users\Public\svc.exe -Algorithm SHA256
Get-AuthenticodeSignature C:\Users\Public\svc.exe
(Get-Item C:\Users\Public\svc.exe).VersionInfo | Format-List *

Manipulez les échantillons dans un environnement contrôlé et ne les exécutez jamais sur le système examiné.

Outils d'analyse

• sigcheck (Sysinternals) : sigcheck -a -h -i fichier.exe affiche informations de version, hash et signature, y compris par catalogue.
• PEStudio (édition gratuite) : signale imports, chaînes, ressources et indicateurs suspects.
• pefile (Python, open source) : accès scripté aux en-têtes, sections, imports, en-tête Rich et imphash.
• Detect It Easy : identification du compilateur, du packer et de l'installeur.
• capa (Mandiant, open source) : associe les caractéristiques du code à des capacités et techniques ATT&CK.
• YARA : correspondance avec des jeux de règles de familles et d'outils connus.

Conseils d'investigation

• Commencez par le hash et la signature : un binaire d'éditeur correctement signé dans un chemin étrange est souvent un LOLBin ou un montage de chargement latéral de DLL ; examinez les DLL voisines.
• Comparez le nom sur disque avec OriginalFilename ; les outils d'accès distant et d'exfiltration renommés sont courants.
• Un chemin PDB ou un en-tête Rich inhabituel peut relier un échantillon à d'autres incidents.
• Traitez TimeDateStamp comme un indice, jamais comme la preuve de la date de compilation ou de déploiement.
• Corrélez le SHA-1 du binaire avec Amcache sur d'autres postes pour mesurer l'étendue de l'incident, et vérifiez les détections Defender sur le même chemin.