Clichés instantanés de volume (VSS)

Présentation

Le service de cliché instantané de volume (Volume Shadow Copy Service, VSS) crée des instantanés d'un volume à un moment donné. Sur les versions clientes de Windows, le fournisseur système intégré fonctionne en copie sur écriture : lorsqu'un bloc du volume est sur le point d'être écrasé, son contenu d'origine est d'abord copié dans une zone de différences (stockage des clichés). En combinant ces blocs préservés avec les blocs inchangés du volume actif, on reconstitue le volume tel qu'il était au moment du cliché.

Un cliché instantané est donc une machine à remonter le temps pour tout le volume : anciennes versions des ruches du registre, journaux d'événements, $MFT, $UsnJrnl, documents utilisateur, voire fichiers supprimés depuis. La suppression des clichés est l'une des étapes les plus courantes des rançongiciels et de l'anti-forensique.

Emplacement

{3808876b-c176-4e48-b7ae-04046e6cc752} est l'identifiant utilisé par VSS pour ses fichiers de métadonnées. La zone de différences doit se trouver sur un volume NTFS, en général le même volume. Windows XP dispose du service VSS mais ne conserve pas de clichés persistants côté client ; sa Restauration du système utilisait un autre format.

Ce que l'artefact prouve

• L'état antérieur de tout fichier du volume au moment du cliché, y compris des fichiers modifiés, chiffrés ou supprimés ensuite.
• Des artefacts historiques : d'anciennes copies des ruches, des journaux EVTX, de la $MFT et du flux $J prolongent vers le passé toutes les autres chronologies.
• La date de création du cliché : quand chaque point de restauration ou cliché de sauvegarde a été pris.
• Une falsification : clichés absents ou récemment supprimés, limite de stockage réduite, commandes ou événements correspondants.
• Un cliché ne contient pas tous les blocs jamais écrits : seuls les blocs modifiés après sa création sont préservés, le reste est lu sur le volume actif. Il ne dit rien de l'utilisateur des fichiers.

Champs clés

Horodatages

Rétention et effacement

• Les clichés sont créés par la Restauration du système (avant mises à jour, installations de pilotes ou d'applications, et de façon planifiée), par les fonctions de sauvegarde de Windows et par les logiciels de sauvegarde tiers. L'activation de la Protection du système varie selon la version, la taille du disque et l'image installée : vérifiez avant de supposer que des clichés existent.
• La zone de différences a une taille maximale. Une fois pleine, les clichés les plus anciens sont supprimés ; le fournisseur système accepte jusqu'à 512 clichés par volume.
• Attaquants et rançongiciels les suppriment : vssadmin delete shadows /all /quiet, wmic shadowcopy delete, suppression via Win32_ShadowCopy en PowerShell, ou vssadmin resize shadowstorage à une taille minuscule pour que Windows les purge lui-même.
• Le journal Système enregistre des événements volsnap comme le 33 (cliché le plus ancien supprimé pour rester sous la limite de stockage) et le 25 (clichés supprimés car le stockage n'a pas pu grandir à temps).
• Les fichiers listés sous HKLM\SYSTEM\CurrentControlSet\Control\BackupRestore\FilesNotToSnapshot sont retirés des nouveaux clichés, sans garantie ; les fichiers d'échange sont toujours exclus.

Collecte

• Cible KAPE : aucune dédiée. Ajoutez --vss à n'importe quelle collecte (par exemple KapeTriage ou RegistryHives) pour récupérer les mêmes fichiers dans chaque cliché, dédupliqués par SHA-1.
• Velociraptor (Windows.Triage.Targets) : pas de cible dédiée. Le paramètre VSS_MAX_AGE_DAYS étend la recherche aux clichés plus récents que ce nombre de jours ; Windows.Search.VSS retrouve un fichier donné dans tous les clichés.
• Commandes natives : lister les clichés et en lier un comme dossier (attention à la barre oblique inverse finale) :

vssadmin list shadows
vssadmin list shadowstorage
mklink /d C:\vsc1 \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\
robocopy C:\vsc1\Windows\System32\config E:\case\vsc1\config SYSTEM SOFTWARE SAM SECURITY /COPY:DAT
rmdir C:\vsc1

Sur une image complète, les clichés sont inclus dans l'image : traitez-les hors ligne plutôt que sur l'hôte actif.

Outils d'analyse

• libvshadow (Joachim Metz, open source) : vshadowinfo liste les clichés avec leur date de création ; vshadowmount expose chacun comme une image de volume brute sous Linux ou macOS.
• Arsenal Image Mounter (mode gratuit) : monte une image disque comme un vrai disque, de sorte que Windows expose lui-même ses clichés ; le montage direct des clichés relève du mode payant.
• VSCMount (Eric Zimmerman) : monte tous les clichés d'un volume sous forme de dossiers pour examen.
• dfir_ntfs (Maxim Suhanov) : vsc_mount --list et --mount sur des images brutes ; ntfs_parser peut lire les fichiers de métadonnées des clichés.
• Plaso : log2timeline.py --vss_stores all ajoute chaque cliché à la super-chronologie.
• MFTECmd (Eric Zimmerman) : --vss (avec --dedupe) traite la $MFT ou le $J de chaque cliché d'un disque actif.

Conseils d'investigation

• Comparez la liste des clichés aux habitudes de la Restauration du système : une machine qui avait des points réguliers et n'en a soudain plus aucun, avec vssadmin.exe ou wmic.exe dans le Prefetch, signale une suppression délibérée.
• Recherchez dans les journaux de création de processus et les journaux PowerShell les chaînes delete shadows, shadowcopy delete et resize shadowstorage ; corrélez avec les événements volsnap des journaux d'événements.
• Extrayez les anciennes ruches du registre de chaque cliché pour voir les clés de persistance, les services et l'activité des utilisateurs tels qu'ils étaient des jours ou semaines plus tôt.
• Analysez $MFT et $J de chaque cliché pour prolonger le journal USN et retrouver des fichiers supprimés avant sa rotation.
• Après un rançongiciel, vérifiez chaque volume : les attaquants oublient parfois les clichés des disques de données, où des originaux non chiffrés peuvent subsister.