Sticky Notes : fiche forensique

Présentation

Sticky Notes est l'application de pense-bêtes du bureau Windows. Les utilisateurs y collent mots de passe, codes d'accès, numéros de téléphone, listes de tâches et informations de compte, ce qui en fait un petit artefact à forte valeur dans les affaires de menace interne, de fraude et d'intrusion.

Deux générations de stockage coexistent. De Windows 7 à Windows 10 avant la version 1607, toutes les notes étaient dans StickyNotes.snt, un fichier composé OLE. À partir de Windows 10 1607 (mise à jour anniversaire), l'application du Store Microsoft.MicrosoftStickyNotes enregistre les notes dans plum.sqlite, une base SQLite qui peut aussi se synchroniser avec le compte Microsoft de l'utilisateur.

Emplacement

Version de Windows	Chemin	Format
7, 8/8.1, 10 avant 1607	`%APPDATA%\Microsoft\Sticky Notes\StickyNotes.snt`	Fichier composé OLE (un stockage par note)
10 1607 et suivants / 11	`%LOCALAPPDATA%\Packages\Microsoft.MicrosoftStickyNotes_8wekyb3d8bbwe\LocalState\plum.sqlite`	SQLite, avec `plum.sqlite-wal` et `plum.sqlite-shm`

Les modifications récentes restent souvent dans plum.sqlite-wal jusqu'au prochain point de contrôle : collectez toujours les trois fichiers ensemble (WAL SQLite).

Ce que l'artefact prouve

Contenu : le texte exact saisi dans chaque note, y compris celles fermées ou masquées à l'écran.
Chronologie : quand chaque note a été créée et mise à jour pour la dernière fois (et marquée supprimée, le cas échéant).
Usage du compte : des notes synchronisées (LastServerVersion renseigné) indiquent qu'un compte Microsoft était connecté à l'application.
L'artefact ne prouve pas qu'une note a été lue, et une note synchronisée peut avoir été écrite sur un autre appareil : LastServerVersion reflète le serveur, pas ce poste.

Champs clés

Champ (table `Note`)	Signification
`Text`	Contenu de la note
`Id` / `ParentId`	Identifiant de la note et référence parente
`CreatedAt`, `UpdatedAt`, `DeletedAt`	Dates de création, de dernière mise à jour et de suppression
`IsOpen`	La note est actuellement ouverte sur le bureau
`IsAlwaysOnTop`	Note épinglée au premier plan
`WindowPosition`	Position et taille de la fenêtre de la note
`Theme`	Couleur de la note
`LastServerVersion`	Copie en cache de la dernière version cloud (synchronisation active)

plum.sqlite contient aussi les tables User, Media, Stroke (encre) et Insight.

Dans StickyNotes.snt, chaque note est un stockage dont les flux contiennent la note en RTF (flux 0) et en texte Unicode (flux 3).

Horodatages

Horodatage	Positionné quand	Format	Pièges
`CreatedAt`	Création de la note	Ticks .NET (intervalles de 100 ns depuis le 01/01/0001), UTC	Ce n'est pas un FILETIME : divisez par 10 000 000 puis retranchez 62 135 596 800 secondes pour obtenir un temps Unix
`UpdatedAt`	Dernière modification	Ticks .NET, UTC	Seule la dernière modification est conservée
`DeletedAt`	Note marquée supprimée	Ticks .NET, UTC	Souvent vide ; les lignes supprimées peuvent simplement disparaître
Dates de `LastServerVersion`	Enregistrement dans le cloud	Heure du serveur	Reflète la copie du compte Microsoft, pas ce poste
Dates des stockages `.snt`	Création / modification du stockage de la note	FILETIME, UTC	Affichées par les visionneuses OLE comme dates de création et de modification par note
Dates $SI de `plum.sqlite` / `-wal`	Dernière écriture dans la base	NTFS, UTC	Le WAL est modifié avant le fichier principal

Rétention et effacement

Il n'y a pas de rotation par taille : les notes restent jusqu'à ce que l'utilisateur les supprime.
Supprimer une note retire sa ligne ou son stockage ; des restes peuvent survivre dans plum.sqlite-wal, les pages libres SQLite et l'espace non alloué. Dans les fichiers .snt, les notes supprimées perdent leurs stockages, mais le flux Metafile peut encore y faire référence.
Avec la synchronisation cloud, des notes supprimées peuvent encore exister dans le compte Microsoft et sur d'autres appareils.
Réinitialiser ou désinstaller l'application supprime le dossier LocalState ; cherchez des versions antérieures dans les clichés instantanés.

Collecte

Cible KAPE : MicrosoftStickyNotes (collecte plum.sqlite* dans le paquet de l'application). Son chemin historique est %APPDATA%\Microsoft\StickyNotes\, sans espace : il peut manquer StickyNotes.snt situé dans Sticky Notes\. Copiez ce fichier à la main sur les systèmes anciens.
Velociraptor (Windows.Triage.Targets) : MicrosoftStickyNotes (mêmes motifs).
Commandes natives : fermez l'application pour que le WAL soit intégré, ou copiez les trois fichiers ensemble.

robocopy C:\Users\alice\AppData\Local\Packages\Microsoft.MicrosoftStickyNotes_8wekyb3d8bbwe\LocalState E:\case\StickyNotes plum.sqlite* /COPY:DAT
robocopy "C:\Users\alice\AppData\Roaming\Microsoft\Sticky Notes" E:\case\StickyNotes StickyNotes.snt /COPY:DAT

Outils d'analyse

SQLECmd (Eric Zimmerman) : la carte MicrosoftStickyNotes convertit les ticks et exporte la table Note en CSV.
StickyParser (open source) : analyse les fichiers .snt et plum.sqlite et tente de récupérer du contenu supprimé dans SQLite.
DB Browser for SQLite : ouvrez une copie de travail avec le -wal à côté et interrogez directement Note.
MiTeC Structured Storage Viewer (gratuit) : parcours des stockages et flux d'un .snt.

Conseils d'investigation

Cherchez dans le texte des notes identifiants, URL, adresses IP, adresses de portefeuilles de cryptomonnaie et contacts de rançon.
Comparez le contenu du WAL avec la base principale : une note présente uniquement dans le WAL peut être une modification très récente ou une note supprimée.
Convertissez les ticks avec soin : une conversion naïve en FILETIME décale les dates de plusieurs siècles.
Alignez CreatedAt/UpdatedAt sur la chronologie Windows, l'historique du presse-papiers et les sessions d'ouverture pour rattacher une note à une session interactive.
Si la synchronisation est active, demandez les données du compte Microsoft : la copie locale peut ne pas contenir les notes créées ailleurs.

Sticky Notes (plum.sqlite et StickyNotes.snt)

Outils