Exécution
RunMRU
Fiche RunMRU : commandes saisies dans la boîte Exécuter (Win+R) dans NTUSER.DAT, ordre MRUList, sens du LastWrite et motifs LOLBin ou UNC à rechercher.
- Emplacement
- NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
- Prouve
- Un utilisateur a saisi ces commandes, chemins ou URL dans la boîte Exécuter, dans cet ordre
- Horodatages
- LastWrite de la clé RunMRU en FILETIME, UTC, ne date que la commande la plus récente ; entrées plus anciennes non datées
- Rétention
- Liste MRU limitée, une commande réutilisée remonte en tête ; effacée avec les éléments récents ou par un nettoyeur ; valeurs supprimées en slack et VSS
- Accès
- NTUSER.DAT par utilisateur, verrouillé tant que l'utilisateur est connecté : collecte en NTFS brut (KAPE) ou VSS ; reg query pour l'utilisateur courant
- Preuve de
- ExécutionActivité utilisateur
- Type
- Registre
- Windows
- XPVista / 78 / 8.11011
- Cible KAPE
- RegistryHivesUser
- Velociraptor
- Windows.Triage.Targets:RegistryHivesUser
Outils
Comparer tous les outilsPrésentation
RunMRU est l'historique de la boîte de dialogue Exécuter (Win+R). Chaque commande, chemin ou URL distinct saisi par un utilisateur y est stocké dans son NTUSER.DAT pour être proposé à nouveau. La boîte Exécuter étant appréciée des attaquants aux commandes du clavier comme des leurres d'ingénierie sociale (« appuyez sur Win+R et collez ceci »), RunMRU est un petit artefact à forte valeur.
Emplacement
NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
Clé identique de Windows XP à Windows 11.
Ce que l'artefact prouve
- L'utilisateur a saisi ou collé la commande dans la boîte Exécuter et validé (les entrées sont enregistrées lorsque la boîte les exécute).
- L'ordre de ces commandes, et l'heure de la plus récente.
- Cela ne prouve pas que la commande a abouti ; confirmez avec le Prefetch, BAM/DAM, les événements de création de processus ou les journaux PowerShell.
Champs clés
| Élément | Signification |
|---|---|
Valeurs a, b, c… | Une commande chacune, en texte, terminée par \1 (marqueur ajouté par l'Explorateur, pas partie de la commande) |
MRUList | Chaîne des lettres de valeurs, la plus récente en premier (par exemple cab) |
Horodatages
| Horodatage | Positionné quand | Format | Pièges |
|---|---|---|---|
| LastWrite de la clé | Exécution d'une commande depuis la boîte (nouvelle ou réutilisée) | FILETIME, UTC | Ne date que la première lettre de MRUList ; les entrées plus anciennes n'ont pas d'heure |
Rétention et effacement
- La liste conserve un nombre limité d'entrées ; relancer une commande connue la remonte en tête au lieu de créer un doublon.
- Vider les éléments récents ou un outil de confidentialité supprime les valeurs ; des valeurs supprimées peuvent subsister dans l'espace libre de la ruche et dans les NTUSER.DAT des clichés instantanés.
Collecte
- Cible KAPE :
RegistryHivesUser - Velociraptor (
Windows.Triage.Targets) :RegistryHivesUser;Windows.Timeline.Registry.RunMRUproduit une chronologie en direct. - Commandes natives (utilisateur courant) :
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"
Outils d'analyse
- Registry Explorer / RECmd (Eric Zimmerman) : affiche les valeurs dans l'ordre de
MRUList. - RegRipper : plugin
runmru. - Velociraptor :
Windows.Timeline.Registry.RunMRU.
Conseils d'investigation
- Traquez les LOLBins et les commandes de téléchargement :
powershell -enc,mshta http…,rundll32,certutil -urlcache,cmd /c curl. - Les commandes collées sur une ligne sont la signature des leurres « faux CAPTCHA » / ClickFix qui demandent d'appuyer sur Win+R ; le LastWrite de RunMRU donne souvent l'heure de l'infection.
- Les entrées UNC (
\\10.0.0.5\c$) montrent un accès manuel à d'autres hôtes ; les entréesmstsc /v:montrent des cibles RDP. - Placez le LastWrite à côté de TypedPaths et d'UserAssist pour reconstituer la session de l'utilisateur.
Artefacts liés
- TypedPaths et WordWheelQueryFiche TypedPaths et WordWheelQuery : chemins saisis dans la barre d'adresse et recherches de l'Explorateur dans NTUSER.DAT, ordre, horodatages, conseils.
- UserAssistFiche UserAssist : clés GUID de NTUSER.DAT, noms en ROT13, nombre d'exécutions, temps au premier plan et dernière exécution des programmes lancés.
- Journaux et historique PowerShellForensique PowerShell : journaux 4103/4104, événements 400/403/800, historique PSReadLine ConsoleHost_history.txt, transcriptions et clés de stratégie.
- Fichiers Prefetch (.pf)Fiche Prefetch Windows : emplacement des .pf par version, nombre d'exécutions, huit dernières dates, fichiers référencés, rétention et analyse.
- BAM / DAM (Background Activity Moderator)Fiche BAM et DAM : clés de la ruche SYSTEM selon la version de Windows 10, SID par utilisateur, dernière exécution en FILETIME, rétention de sept jours.
Termes du glossaire
- NTUSER.DATLa ruche du Registre propre à chaque utilisateur, stockée dans son profil et chargée comme HKEY_CURRENT_USER, riche en traces d'activité.
- LastWrite d'une clé de RegistreL'unique FILETIME stocké dans chaque clé de Registre, qui indique en UTC la dernière modification de la clé ou de l'une de ses valeurs.
- LOLBin (binaire living-off-the-land)Binaire Windows légitime et signé que les attaquants détournent pour télécharger, exécuter ou dissimuler une charge sans déposer leurs outils.
- Preuve d'exécutionLes artefacts qui montrent qu'un programme s'est réellement exécuté sous Windows, et pas seulement qu'il était présent sur le disque.