Réseau et accès distant
Outils d'accès distant (RMM)
Fiche RMM et outils d'accès distant : AnyDesk, TeamViewer, ScreenConnect, leurs journaux, IDs de connexion, IP et horodatages, et comment traquer l'abus.
- Emplacement
- %ProgramData%\AnyDesk\ (et équivalents par outil)
- Prouve
- Qu'un outil d'accès distant a tourné, avec dates de connexion, IDs de pair et IP distantes
- Horodatages
- Lignes de journal texte propres à chaque outil, souvent en heure locale (parfois UTC) ; dates $SI en NTFS UTC
- Rétention
- Les journaux tournent par taille ou sont réécrits à la réinstallation ; en portable, les journaux restent dans le dossier d'exécution
- Accès
- Admin local ou SYSTEM pour les journaux de %ProgramData% ; journaux utilisateur lisibles sous ce compte
- Preuve de
- Réseau et accès distantPersistance
- Type
- Fichier / système de fichiers
- Windows
- Vista / 78 / 8.11011
- Cible KAPE
- Pas de cible dédiée
- Velociraptor
- Pas de cible dédiée
Outils
Comparer tous les outilsPrésentation
Les outils de supervision et gestion à distance (RMM) et d'accès distant comme AnyDesk, TeamViewer, ScreenConnect (ConnectWise Control), Splashtop, Atera et RustDesk sont des produits informatiques légitimes que les attaquants installent couramment pour un accès clavier interactif et de la persistance. Étant des logiciels commerciaux signés, ils échappent à de nombreux contrôles et se fondent dans l'activité d'administration normale. Chaque outil tient ses propres journaux de connexion : c'est une source de grande valeur pour reconstruire quand un opérateur distant s'est connecté, d'où, et avec quel compte.
Emplacement
| Outil | Fichiers clés |
|---|---|
| AnyDesk | %ProgramData%\AnyDesk\ et %APPDATA%\AnyDesk\ : ad.trace, ad_svc.trace, connection_trace.txt |
| TeamViewer | %APPDATA%\TeamViewer\ et Program Files : Connections_incoming.txt, TeamViewer<ver>_Logfile.log |
| ScreenConnect / ConnectWise Control | Client sous %WINDIR%\Temp\ScreenConnect\ et un service ; journaux variables selon la version |
| Splashtop | %ProgramData%\Splashtop\Temp\log\ |
| Atera / AteraAgent | %ProgramFiles%\ATERA Networks\ plus un service |
| RustDesk | %APPDATA%\RustDesk\ (config et journaux) |
Les noms de fichiers et chemins varient selon la version et l'installeur : traitez ce qui précède comme des pistes à confirmer sur l'hôte. Les outils installés enregistrent en général un service Windows et parfois une tâche planifiée ; énumérez les deux.
Ce que l'artefact prouve
- Que l'outil a tourné et a accepté ou établi des connexions, avec des enregistrements par session.
- Identité du pair et origine réseau : l'ID AnyDesk/TeamViewer distant et, dans plusieurs journaux, l'IP distante.
- Cela ne prouve pas en soi que la connexion était malveillante, ni n'identifie l'opérateur humain ; un ID de pair ou une IP est une piste d'attribution à corroborer. Les journaux peuvent aussi être tronqués par rotation : l'absence n'est pas une preuve d'absence d'accès.
Champs clés
| Champ | Signification |
|---|---|
| Horodatage | Début/fin d'une session (vérifier si l'outil journalise en local ou UTC) |
| ID de pair / client | ID numérique de l'appareil qui se connecte |
| Direction | Session entrante ou sortante |
| IP distante | Présente dans certaines traces (par ex. ad.trace d'AnyDesk) |
| Utilisateur / nom affiché | Compte local et, parfois, le libellé de l'utilisateur distant |
| Transfert de fichiers | Certains journaux enregistrent les noms des fichiers transférés |
Horodatages
La plupart sont des journaux texte avec horodatage par ligne. Vérifiez la base de temps par outil : plusieurs journalisent en heure locale, quelques-uns en UTC. Recoupez avec les dates NTFS $SI du fichier et avec les entrées des journaux d'événements pour ancrer les sessions à une horloge connue.
Rétention et effacement
Les journaux tournent par taille (les lignes anciennes sont écartées) ou sont réinitialisés à la réinstallation : un incident long peut perdre ses premières sessions. L'exécution portable (« sans installation ») ne laisse des journaux que dans le dossier d'où le binaire a tourné, que les attaquants suppriment souvent. La récupération depuis la $MFT, le journal USN et les clichés en vaut la peine.
Collecte
Get-Service | Where-Object { $_.DisplayName -match 'AnyDesk|TeamViewer|ScreenConnect|Splashtop|Atera|RustDesk' }
robocopy $env:ProgramData\AnyDesk E:\case\AnyDesk /E /COPY:DAT
Copy-Item "$env:APPDATA\TeamViewer\Connections_incoming.txt" E:\case\
Collectez aussi les données de registre des services et des tâches planifiées et le journal Système (7045 installation de service) pour la preuve d'installation.
Outils d'analyse
- Outils texte (grep,
Select-String, un éditeur) : les journaux de connexion sont en texte ; cherchez les IP, dates et IDs de pair de l'incident. - EvtxECmd (Eric Zimmerman, gratuit) : analyse le journal Système pour 7045 (service installé) et les canaux produit que certains outils écrivent.
- RECmd / Registry Explorer : récupère les clés d'installation et de configuration et toute persistance par clé Run.
- KAPE : des cibles existent pour les RMM courants ; confirmez le nom de la cible pour votre version de KAPE avant de vous y fier.
Conseils d'investigation
- Dressez d'abord un inventaire : tout RMM que l'organisation n'utilise pas officiellement est immédiatement suspect. Les attaquants privilégient AnyDesk et ScreenConnect déposés en cours d'intrusion.
- Corrélez le début de session de l'outil avec le mouvement latéral et les connexions interactives (4624 type 10) et avec la création de processus dans les mêmes minutes.
connection_trace.txtd'AnyDesk liste les IDs de sessions entrantes et si elles ont été acceptées ;ad.tracepeut contenir l'IP distante.Connections_incoming.txtde TeamViewer donne l'ID de pair, le nom affiché et les heures de début/fin.- Cherchez une installation de service (7045) ou une tâche planifiée pointant vers le binaire RMM, et les clés Run, pour établir la persistance et la date d'installation.
- Cherchez l'installeur dans
Downloads,%TEMP%ou%ProgramData%, et tirez son zone identifier pour retrouver sa provenance.
Artefacts liés
- Services WindowsFiche services Windows : valeurs de la clé Services (ImagePath, Start, Type, ServiceDll), événements 7045 et 4697, traces de PsExec et pièges.
- Tâches planifiéesFiche tâches planifiées : XML et .job, clés TaskCache, horodatages DynamicInfo, tâches masquées, événements TaskScheduler et 4698.
- Journaux d'événements Windows (EVTX)Fiche des journaux d'événements Windows : emplacements EVTX, ID indispensables (connexions, processus, services, effacement), rétention, audit et outils.
- Traces de connexions RDPFiche forensique RDP : ID côté cible (4624 type 10, 1149, 21 à 25, 131) et traces côté source (clés Terminal Server Client, Default.rdp, événement 1024).
- Profils réseau (NetworkList)Fiche NetworkList : profils réseau, SSID, adresses MAC de passerelle, première et dernière connexion (heure locale), profils WLAN et événements WLAN.
Termes du glossaire
- Mouvement latéralDéplacement d'un attaquant d'un hôte compromis vers d'autres machines du réseau, via RDP, SMB, PsExec, WMI, WinRM ou tâches et services distants.
- PersistanceMécanismes permettant à un malware ou à un attaquant de survivre aux redémarrages : clés Run, services, tâches planifiées, abonnements WMI.
- ID d'événement WindowsLe numéro qui identifie un type d'événement au sein d'un fournisseur donné ; il n'a de sens qu'associé à ce fournisseur et à son canal.
Guides
- Mouvement latéral : traces RDP, PsExec, WMI et WinRMArtefacts côté source et côté destination pour RDP, PsExec, SMB, WMI, WinRM, tâches planifiées et DCOM, et construction du graphe de mouvement latéral.
- Chasser la persistance Windows : registre, tâches, WMIDétecter la persistance d'un attaquant sous Windows : clés Run, services, tâches planifiées, WMI, Winlogon, IFEO, COM et BITS, avec MITRE ATT&CK et outils.
- Outils d'accès distant : forensic d'AnyDesk et TeamViewerEnquêter sur les outils RMM et d'accès à distance détournés : traces d'installation, journaux par outil, ID et IP de session, transferts de fichiers, usage IT.