75 fiches artefacts
Artefacts forensiques Windows
Fiches pratiques des artefacts forensiques Windows : emplacement selon la version, ce qu'ils prouvent, horodatages, collecte et analyse.
75 / 75 artefacts
Fiche $LogFile : journal des métadonnées NTFS (enregistrement MFT 2), 64 Mo par défaut, opérations redo/undo, zone de redémarrage, rétention courte.
C:\$LogFile
Fiche Amcache.hve : clés d'inventaire des fichiers et programmes, SHA-1, métadonnées PE, horodatages, et pourquoi une entrée ne prouve pas l'exécution.
C:\Windows\AppCompat\Programs\Amcache.hve
Fiche stratégie de groupe : SYSVOL, Registry.pol, mots de passe GPP, historique côté client et journaux, et comment les attaquants détournent les GPO.
%SystemRoot%\System32\GroupPolicy\
Fiche navigateurs : fichiers de profil Chromium et Firefox, tables History et places.sqlite, horodatages WebKit et PRTime, téléchargements, cookies, cache.
C:\Users\<user>\AppData\Local\Google\Chrome\User Data\<Profile>\History
- Assistant Compatibilité des programmes (PCA)Fichier / système de fichiers
Fiche PCA : fichiers PcaAppLaunchDic.txt et PcaGeneralDb de Windows 11, clé AppCompatFlags Store, champs et horodatages UTC des lancements.
C:\Windows\appcompat\pca\PcaAppLaunchDic.txt
Fiche $I30 : index de dossiers NTFS ($INDEX_ROOT, $INDEX_ALLOCATION), enregistrements INDX, horodatages, entrées de slack de fichiers supprimés.
<directory>\$I30 ($INDEX_ALLOCATION stream of each NTFS folder)
Fiche BAM et DAM : clés de la ruche SYSTEM selon la version de Windows 10, SID par utilisateur, dernière exécution en FILETIME, rétention de sept jours.
SYSTEM\CurrentControlSet\Services\bam\State\UserSettings\<SID>
Fiche base des notifications Windows : tables de wpndatabase.db, Payload XML des toasts, ArrivalTime et ExpiryTime en FILETIME, récupération WAL, appdb.dat.
C:\Users\<user>\AppData\Local\Microsoft\Windows\Notifications\wpndatabase.db
Fiche cache bitmap RDP : fichiers bcache*.bmc et Cache*.bin du client RDP, ce que révèlent les tuiles d'écran, horodatages, reconstitution avec bmc-tools.
%LOCALAPPDATA%\Microsoft\Terminal Server Client\Cache\
Fiche CapabilityAccessManager : clés ConsentStore, LastUsedTimeStart et Stop de la webcam et du micro par application, base SQLite de Windows 11.
SOFTWARE\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore
Fiche clés Run et dossiers Démarrage : chemins Run, RunOnce, Wow6432Node et Policies, octets StartupApproved activé/désactivé, horodatages.
NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Run
- Clichés instantanés de volume (VSS)Fichier / système de fichiers
Fiche clichés instantanés VSS : fichiers de stockage dans System Volume Information, copie sur écriture, suppression par rançongiciel, montage et analyse.
C:\System Volume Information\{GUID}{3808876b-c176-4e48-b7ae-04046e6cc752}
- Client de synchronisation OneDriveFichier / système de fichiers
Fiche OneDrive : clés de registre du compte, métadonnées SyncEngineDatabase.db et <CID>.dat, journaux ODL, SafeDelete.db, fichiers à la demande et analyse.
C:\Users\<user>\AppData\Local\Microsoft\OneDrive\
Fiche Corbeille : fichiers $I et $R de $Recycle.Bin, $I version 1 et 2, INFO2 sous XP, date de suppression, chemin d'origine, vidage et Maj+Suppr.
C:\$Recycle.Bin\<SID>\$I*
Fiche $Secure:$SDS : magasin NTFS des descripteurs de sécurité, index $SDH et $SII, Security ID du $SI, SID propriétaire, ACL, collecte et MFTECmd.
C:\$Secure:$SDS
Fiche DPAPI et Gestionnaire d'identifiants : clés maîtresses, coffre Windows, secrets stockés, prérequis de déchiffrement hors ligne et traces de vol.
%APPDATA%\Microsoft\Protect\<SID>\
Fiche Outlook PST/OST : emplacements des fichiers, messages et éléments supprimés, cache Content.Outlook, clés de profil, nouvel Outlook et analyse.
C:\Users\<user>\AppData\Local\Microsoft\Outlook\*.ost
Fiche LNK : raccourcis du dossier Recent, première et dernière ouverture, horodatages de la cible, numéro de série, partage réseau et adresse MAC.
C:\Users\<user>\AppData\Roaming\Microsoft\Windows\Recent\*.lnk
Fiche spouleur d'impression : fichiers .SPL et .SHD de spool\PRINTERS, récupération EMF, événement 307 PrintService, pilotes et traces PrintNightmare.
C:\Windows\System32\spool\PRINTERS\*.SPL, *.SHD
Fiche de tri des fichiers PE : hash, imphash et en-tête Rich, limites de la date de compilation, sections et entropie, informations de version, signatures, PDB.
Tout .exe, .dll, .sys, .scr, .cpl sur disque ou extrait de la mémoire
Fiche Prefetch Windows : emplacement des .pf par version, nombre d'exécutions, huit dernières dates, fichiers référencés, rétention et analyse.
C:\Windows\Prefetch\<EXE>-<HASH>.pf
Fiche hiberfil.sys : ce que sauvent l'hibernation et le démarrage rapide, compression selon la version, conversion en image mémoire brute.
C:\hiberfil.sys
Fiche forensique USB : clés USBSTOR et USB, numéros de série, première et dernière connexion, lettres de lecteur, setupapi.dev.log et événements.
SYSTEM\CurrentControlSet\Enum\USBSTOR
Fiche presse-papiers : ce que Windows 10/11 garde en mémoire, éléments épinglés sur disque, texte du presse-papiers cloud dans ActivitiesCache.db et registre.
C:\Users\<user>\AppData\Local\ConnectedDevicesPlatform\<id>\ActivitiesCache.db
Fiche images disque montées : ISO/IMG/VHD/VHDX, événements VHDMP, MountedDevices, traces LNK et Jump Lists, failles Mark-of-the-Web et méthode de détection.
C:\Windows\System32\winevt\Logs\Microsoft-Windows-VHDMP-Operational.evtx
Fiche index Windows Search : Windows.edb (ESE) et Windows.db SQLite de Windows 11, chemins, dates et contenu indexés, enregistrements supprimés, esentutl.
C:\ProgramData\Microsoft\Search\Data\Applications\Windows\Windows.edb
Fiche Sysmon : emplacement du journal Operational, ID d'événements clés, corrélation ProcessGuid et hash, config dans le registre, altérations et outils.
C:\Windows\System32\winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx
Fiche journal USN : $UsnJrnl:$J et $Max, champs, indicateurs Reason, référence parent, taille par défaut, rotation, fsutil et analyse avec MFTECmd.
C:\$Extend\$UsnJrnl:$J
Fiche des journaux d'événements Windows : emplacements EVTX, ID indispensables (connexions, processus, services, effacement), rétention, audit et outils.
C:\Windows\System32\winevt\Logs\*.evtx
- Journaux de suivi d'événements (fichiers ETL)Fichier / système de fichiers
Fiche fichiers ETL : ce que sont les traces ETW, les .etl utiles en forensique (traces WDI, Wifi.etl, DiagTrack), collecte, tracerpt et etl-parser.
C:\Windows\System32\LogFiles\WMI\*.etl
Fiche pare-feu Windows : format et réglages de pfirewall.log, événements de règles 2004-2006, audit WFP 5156/5157, règles dans le registre et abus de netsh.
C:\Windows\System32\LogFiles\Firewall\pfirewall.log
- Journaux du serveur web IISFichier / système de fichiers
Fiche journaux IIS : emplacement des logs W3C par site, horodatage UTC, champs par défaut, HTTPERR, applicationHost.config et chasse aux webshells sur Windows.
C:\inetpub\logs\LogFiles\W3SVC<siteID>\u_exYYMMDD.log
Forensique PowerShell : journaux 4103/4104, événements 400/403/800, historique PSReadLine ConsoleHost_history.txt, transcriptions et clés de stratégie.
C:\Windows\System32\winevt\Logs\Microsoft-Windows-PowerShell%4Operational.evtx
Forensique Microsoft Defender : événements 1116/1117/5001/5007, fichiers MPLog, DetectionHistory, quarantaine chiffrée, exclusions et traces de sabotage.
C:\ProgramData\Microsoft\Windows Defender\Support\MPLog-*.log
Fiche Jump Lists : AutomaticDestinations et CustomDestinations, AppID, entrées DestList avec dernier accès, nombre d'accès, épinglage, et JLECmd.
C:\Users\<user>\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\
Fiche messageries de bureau : où Slack, Signal, WhatsApp, Telegram et Discord stockent leurs données sous Windows, chiffrement, horodatages et exports.
C:\Users\<user>\AppData\Roaming\<App>\ (Slack, Signal, discord, Telegram Desktop)
Fiche Microsoft Teams : dossiers de l'ancien et du nouveau client, messages et appels en IndexedDB LevelDB, journaux, exports Purview ou Graph comme référence.
C:\Users\<user>\AppData\Local\Packages\MSTeams_8wekyb3d8bbwe\LocalCache\Microsoft\MSTeams\
Fiche MUICache : emplacements dans UsrClass.dat et NTUSER.DAT, valeurs FriendlyAppName et ApplicationCompany, ce qu'elles prouvent et limites de datation.
UsrClass.dat\Local Settings\Software\Microsoft\Windows\Shell\MuiCache
- Notepad TabState (Windows 11)Fichier / système de fichiers
Fiche Notepad TabState : fichiers .bin des onglets du Bloc-notes Windows 11, texte jamais enregistré, chemins des fichiers, hashs, WindowState et analyse.
C:\Users\<user>\AppData\Local\Packages\Microsoft.WindowsNotepad_8wekyb3d8bbwe\LocalState\TabState\*.bin
Fiche NTDS.dit : la base Active Directory, ce qu'elle prouve, les traces de vol sur un DC et les Event IDs Kerberos, NTLM et DCSync utiles à l'enquêteur.
C:\Windows\NTDS\ntds.dit
Fiche Office MRU et TrustRecords : clés File MRU et User MRU par version d'Office, horodatage [T…], et repérage des documents dont les macros ont été activées.
NTUSER.DAT\Software\Microsoft\Office\<version>\<App>\File MRU
Fiche OpenSavePidlMRU et LastVisitedPidlMRU : clés ComDlg32 par version, ce qu'enregistre la boîte Ouvrir/Enregistrer, horodatages, pistes d'exfiltration.
NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32
Fiche RMM et outils d'accès distant : AnyDesk, TeamViewer, ScreenConnect, leurs journaux, IDs de connexion, IP et horodatages, et comment traquer l'abus.
%ProgramData%\AnyDesk\ (et équivalents par outil)
Fiche pagefile.sys et swapfile.sys : mémoire paginée sur disque, données récupérables, ClearPageFileAtShutdown, compression et outils de carving.
C:\pagefile.sys
Fiche Bluetooth : clés BTHPORT des appareils appairés, adresses MAC et noms, dates LastSeen/LastConnected, BTHENUM, journaux et transferts fsquirt.
SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Devices\<MAC>
Fiche IFEO et Winlogon : détournement par Debugger, GlobalFlag et SilentProcessExit, porte dérobée sticky keys, Userinit/Shell, Notify, AppInit_DLLs.
SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\<exe>
Fiche pilotes noyau : services de pilote (Type 1/2), événement 7045, DriverStore, setupapi.dev.log, Amcache et journaux CodeIntegrity contre BYOVD et rootkits.
C:\Windows\System32\drivers\*.sys
Fiche NetworkList : profils réseau, SSID, adresses MAC de passerelle, première et dernière connexion (heure locale), profils WLAN et événements WLAN.
SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles
Fiche programmes installés : clés Uninstall, événements MSI 1033/11707, MSI en cache, paquets AppX, journaux winget et Amcache pour dater les installations.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
Fiche Windows Error Reporting : dossiers Report.wer, champs AppPath et SHA-1, événements Application 1000/1001/1002, vidages LocalDumps et rétention.
C:\ProgramData\Microsoft\Windows\WER\ReportArchive\<ReportFolder>\Report.wer
Fiche RecentDocs : clé de NTUSER.DAT et sous-clés par extension, ordre MRUListEx, sens du LastWrite et rapprochement des entrées avec les fichiers LNK.
NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
Fiche RecentFileCache.bcf : l'artefact d'exécution de Windows 7 qui liste les exécutables lancés récemment, son emplacement, son format et son analyse.
C:\Windows\AppCompat\Programs\RecentFileCache.bcf
Fiche référentiel WMI : OBJECTS.DATA, filtres, consommateurs et liaisons d'événements, WMI-Activity 5857–5861, fichiers MOF et CCM_RecentlyUsedApps.
C:\Windows\System32\wbem\Repository\OBJECTS.DATA
Fiche ruche SAM : comptes locaux, RID, dernière connexion et changement de mot de passe, compteurs, groupes, ProfileList et ID d'événements liés aux comptes.
C:\Windows\System32\config\SAM
Fiche ruches du registre : SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT, UsrClass.dat, journaux de transactions, RegBack, LastWrite et collecte.
C:\Windows\System32\config\
Fiche RunMRU : commandes saisies dans la boîte Exécuter (Win+R) dans NTUSER.DAT, ordre MRUList, sens du LastWrite et motifs LOLBin ou UNC à rechercher.
NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
Fiche OpenSSH sous Windows : journal de sshd, sshd_config et clés d'hôte, persistance par authorized_keys, known_hosts, traces du client et tunnels inversés.
C:\Windows\System32\winevt\Logs\OpenSSH%4Operational.evtx
Fiche services Windows : valeurs de la clé Services (ImagePath, Start, Type, ServiceDll), événements 7045 et 4697, traces de PsExec et pièges.
SYSTEM\ControlSet00x\Services\<ServiceName>
Fiche ShellBags : clés BagMRU et Bags dans UsrClass.dat et NTUSER.DAT, shell items, horodatages des dossiers, dossiers supprimés et USB, analyse avec SBECmd.
UsrClass.dat\Local Settings\Software\Microsoft\Windows\Shell\BagMRU
Fiche ShimCache (AppCompatCache) : emplacement dans SYSTEM, nombre d'entrées par version, ordre, sens de l'horodatage et limites comme preuve d'exécution.
SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache
Fiche WSL : clé de registre Lxss, rootfs WSL1 ou ext4.vhdx WSL2, bash_history des distributions, traces d'exécution de wsl.exe, partage wsl$ et évasion.
HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss
Fiche SRUM : tables et GUID de SRUDB.dat, octets réseau et temps CPU par application, enregistrements horaires UTC, rétention de 30 à 60 jours, réparation ESE.
C:\Windows\System32\sru\SRUDB.dat
- Sticky Notes (plum.sqlite et StickyNotes.snt)Base de données
Fiche Sticky Notes : table Note de plum.sqlite et horodatages en ticks .NET sous Windows 10/11, ancien StickyNotes.snt, récupération via le WAL, collecte.
C:\Users\<user>\AppData\Local\Packages\Microsoft.MicrosoftStickyNotes_8wekyb3d8bbwe\LocalState\plum.sqlite
Fiche Syscache.hve : la ruche de Windows 7 / Server 2008 R2 dans System Volume Information qui relie identifiants MFT et SHA-1, et ses limites.
C:\System Volume Information\Syscache.hve
Fiche $MFT : enregistrements FILE, horodatages $SI et $FN, données résidentes, entrées supprimées, numéros de séquence, timestomping et MFTECmd.
C:\$MFT
Fiche tâches BITS : qmgr0.dat/qmgr1.dat ou qmgr.db (ESE), événements Bits-Client 3, 4, 59, 60, persistance SetNotifyCmdLine et BitsParser.
C:\ProgramData\Microsoft\Network\Downloader\qmgr.db
Fiche tâches planifiées : XML et .job, clés TaskCache, horodatages DynamicInfo, tâches masquées, événements TaskScheduler et 4698.
C:\Windows\System32\Tasks\<TaskName>
Fiche Thumbcache : fichiers thumbcache_*.db par version, identifiants de cache, lien avec l'index Search, Thumbs.db et miniatures de fichiers supprimés.
C:\Users\<user>\AppData\Local\Microsoft\Windows\Explorer\thumbcache_*.db
Fiche forensique RDP : ID côté cible (4624 type 10, 1149, 21 à 25, 131) et traces côté source (clés Terminal Server Client, Default.rdp, événement 1024).
C:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-*.evtx
Fiche TypedPaths et WordWheelQuery : chemins saisis dans la barre d'adresse et recherches de l'Explorateur dans NTUSER.DAT, ordre, horodatages, conseils.
NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths
Fiche UserAssist : clés GUID de NTUSER.DAT, noms en ROT13, nombre d'exécutions, temps au premier plan et dernière exécution des programmes lancés.
NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{GUID}\Count
Fiche vidages mémoire : emplacements de MEMORY.DMP et des minidumps, types CrashControl, vidages en mode utilisateur, traces de dump LSASS et outils d'analyse.
C:\Windows\MEMORY.DMP
- Windows Recall (instantanés des PC Copilot+)Base de données
Fiche Windows Recall : magasin CoreAIPlatform, ukg.db et ImageStore, texte OCR et titres de fenêtres, chiffrement VBS, activation volontaire et limites.
C:\Users\<user>\AppData\Local\CoreAIPlatform.00\UKP\{GUID}\ukg.db
Fiche Windows Timeline : ActivitiesCache.db et WAL, tables Activity, valeurs ActivityType, durée au premier plan, presse-papiers, expiration à 30 jours.
C:\Users\<user>\AppData\Local\ConnectedDevicesPlatform\<account>\ActivitiesCache.db
Fiche Zone.Identifier : flux ADS Mark of the Web, ZoneId 0 à 4, ReferrerUrl et HostUrl selon le navigateur, pertes et contournements, collecte via la $MFT.
<file>:Zone.Identifier (NTFS alternate data stream)