Ruche SAM : fiche forensique

Présentation

La ruche Security Account Manager (SAM) contient les comptes et groupes locaux d'une machine Windows : noms, identifiants relatifs (RID), indicateurs de compte, statistiques de connexion et empreintes de mots de passe (chiffrées). Associée à la clé ProfileList de la ruche SOFTWARE, elle permet de traduire en compte chaque SID trouvé dans les autres artefacts, et de repérer les comptes créés ou détournés par un attaquant. Les comptes de domaine ne sont pas stockés dans la SAM des postes membres.

Emplacement

Artefact	Emplacement
Ruche SAM	`C:\Windows\System32\config\SAM` (+ `.LOG1` / `.LOG2`)
Utilisateurs locaux	`SAM\Domains\Account\Users\<RID en hexadécimal>` (valeurs `F` et `V`)
Nom → RID	`SAM\Domains\Account\Users\Names\<nom d'utilisateur>` (le type de la valeur contient le RID)
Groupes locaux	`SAM\Domains\Builtin\Aliases\<RID>` (par exemple `00000220` = Administrateurs)
Profils (SID → dossier)	`SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\<SID>` (`ProfileImagePath`)
Connexions de domaine en cache	`SECURITY\Cache` (`NL$1`, `NL$2`…)

Ce que l'artefact prouve

Quels comptes locaux existent, leurs RID (500 = Administrateur intégré, 501 = Invité, 1000+ = comptes créés ensuite) et s'ils sont désactivés.
Quand chaque compte s'est connecté pour la dernière fois, a changé son mot de passe et a échoué une connexion, ainsi que les compteurs de connexions et d'échecs.
L'appartenance aux groupes, par exemple un nouveau compte ajouté aux Administrateurs ou aux Utilisateurs du Bureau à distance.
Sous Windows 8 et ultérieurs, un compte Microsoft lié à un compte local (InternetUserName et valeurs de nom sous la clé de l'utilisateur).
ProfileList montre chaque compte (local ou de domaine) qui s'est connecté en interactif et a créé un profil.

Champs clés

Champ	Où	Signification
Dernière connexion	Valeur `F`	Dernière connexion interactive réussie enregistrée localement
Dernier changement de mot de passe	Valeur `F`	Dernière modification du mot de passe
Dernier échec de connexion	Valeur `F`	Dernier mot de passe erroné
Expiration du compte	Valeur `F`	Date d'expiration, si définie
Indicateurs de contrôle du compte	Valeur `F`	Désactivé, mot de passe sans expiration, mot de passe non requis…
Compteurs de connexions / d'échecs	Valeur `F`	Compteurs
Nom, nom complet, commentaire, empreintes	Valeur `V`	Les empreintes sont chiffrées avec des clés dérivées de la clé de démarrage de la ruche SYSTEM
`ProfileImagePath`	ProfileList	Dossier de profil du SID

Horodatages

Horodatage	Positionné quand	Format	Pièges
Dernière connexion, dernier changement de mot de passe, dernier échec	Événement correspondant sur cette machine	FILETIME, UTC	Comptes locaux uniquement ; une connexion réseau peut ne pas le mettre à jour
LastWrite de `Users\<RID>`	Toute modification des valeurs du compte	FILETIME, UTC	Souvent proche de la dernière connexion ou du dernier changement de mot de passe
LastWrite de `Names\<utilisateur>`	Création ou renommage de la clé de nom	FILETIME, UTC	Correspond généralement à la création du compte

Rétention et effacement

Supprimer un compte supprime ses clés ; des traces peuvent subsister dans l'espace libre de la ruche, les SAM des clichés instantanés, la clé ProfileList et le dossier de profil sous C:\Users.
Les événements 4720 (création), 4722 (activation), 4724 (tentative de réinitialisation du mot de passe), 4725 (désactivation), 4726 (suppression), 4732 (ajout à un groupe local) et 4738 (modification) du journal Security donnent l'historique que la SAM ne conserve pas.

Collecte

Cible KAPE : RegistryHivesSystem (SAM, SECURITY, SYSTEM, SOFTWARE avec leurs journaux)
Velociraptor (Windows.Triage.Targets) : RegistryHivesSystem ; Windows.Forensics.SAM analyse les comptes en direct.
Commandes natives (administrateur) :

reg save HKLM\SAM E:\case\SAM.hiv
reg save HKLM\SYSTEM E:\case\SYSTEM.hiv
net user
net localgroup administrators

Outils d'analyse

Registry Explorer (Eric Zimmerman) : plugin SAM qui décode F et V.
RegRipper : plugin samparse, et profilelist pour la ruche SOFTWARE.
Velociraptor : Windows.Forensics.SAM, Windows.Sys.Users.
secretsdump.py d'Impacket (hors ligne, avec SAM + SYSTEM [+ SECURITY]) : uniquement dans le cadre d'une réponse à incident autorisée, par exemple pour vérifier si l'empreinte d'un administrateur local compromis est réutilisée sur d'autres postes.

Conseils d'investigation

Listez les RID supérieurs à 1000 créés pendant la fenêtre d'incident (LastWrite de la clé Names, événement 4720) et vérifiez leurs groupes.
Un Administrateur intégré (RID 500) désactivé soudain réactivé, ou dont le mot de passe est réinitialisé, est une manœuvre de persistance courante.
Faites correspondre les SID de BAM/DAM, SRUM et des journaux à des noms via ProfileList et la SAM.
Un compte connecté en RDP sans dossier de profil a peut-être été supprimé ensuite : vérifiez les clichés instantanés.
Traitez l'extraction d'empreintes comme une preuve sensible : réservez-la aux intervenants autorisés et documentez pourquoi elle était nécessaire.

Ruche SAM et comptes utilisateurs

Outils