Windows Forensics — Blog https://www.windowsforensics.app/fr/blog Latest from Blog fr Wed, 07 Oct 2026 22:57:47 GMT Acquisition et triage Windows avec KAPE et Velociraptor https://www.windowsforensics.app/fr/blog/acquisition-and-triage-kape-velociraptor https://www.windowsforensics.app/fr/blog/acquisition-and-triage-kape-velociraptor Acquérir des preuves Windows dans le bon ordre : mémoire d'abord, image disque, BitLocker, triage KAPE et Velociraptor, snapshots cloud et chaîne de possession. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Forensic Active Directory : logs des contrôleurs de domaine https://www.windowsforensics.app/fr/blog/active-directory-domain-controller-forensics https://www.windowsforensics.app/fr/blog/active-directory-domain-controller-forensics Enquêter sur les DC : événements Kerberos et NTLM, comptes et groupes, DCSync 4662, modifications d'annuaire, abus de GPO, vol de NTDS.dit, tickets forgés. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Vol d'identifiants Windows : LSASS, DCSync et Kerberoasting https://www.windowsforensics.app/fr/blog/credential-access-forensics https://www.windowsforensics.app/fr/blog/credential-access-forensics Enquêter sur le vol d'identifiants Windows : dumps LSASS, SAM et NTDS.dit, DCSync, DPAPI, Kerberoasting et AS-REP roasting, avec événements et ATT&CK. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Anti-forensique Windows : détecter les traces qui subsistent https://www.windowsforensics.app/fr/blog/detecting-windows-anti-forensics https://www.windowsforensics.app/fr/blog/detecting-windows-anti-forensics Détecter effacement de journaux, timestomping, suppression sécurisée, destruction des VSS et neutralisation de Defender, avec ATT&CK et les traces laissées. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Chasser la persistance Windows : registre, tâches, WMI https://www.windowsforensics.app/fr/blog/hunting-windows-persistence https://www.windowsforensics.app/fr/blog/hunting-windows-persistence Détecter la persistance d'un attaquant sous Windows : clés Run, services, tâches planifiées, WMI, Winlogon, IFEO, COM et BITS, avec MITRE ATT&CK et outils. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Mouvement latéral : traces RDP, PsExec, WMI et WinRM https://www.windowsforensics.app/fr/blog/lateral-movement-rdp-psexec-winrm https://www.windowsforensics.app/fr/blog/lateral-movement-rdp-psexec-winrm Artefacts côté source et côté destination pour RDP, PsExec, SMB, WMI, WinRM, tâches planifiées et DCOM, et construction du graphe de mouvement latéral. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Forensique NTFS : $MFT, journal USN et $LogFile décryptés https://www.windowsforensics.app/fr/blog/ntfs-forensics-mft-usn-logfile https://www.windowsforensics.app/fr/blog/ntfs-forensics-mft-usn-logfile Lire NTFS en analyste : structure des enregistrements MFT, horodatages $SI et $FN, timestomping, flags USN, $LogFile, slack $I30 et fichiers supprimés. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Forensic du phishing : MotW, ISO, LNK et accès initial https://www.windowsforensics.app/fr/blog/phishing-initial-access-motw-iso-lnk https://www.windowsforensics.app/fr/blog/phishing-initial-access-motw-iso-lnk Remonter un phishing de l'e-mail à la première exécution : fichiers temporaires Outlook, Zone.Identifier, contournement MotW par ISO et LNK, macros, LOLBins. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Outils d'accès distant : forensic d'AnyDesk et TeamViewer https://www.windowsforensics.app/fr/blog/remote-access-tools-forensics https://www.windowsforensics.app/fr/blog/remote-access-tools-forensics Enquêter sur les outils RMM et d'accès à distance détournés : traces d'installation, journaux par outil, ID et IP de session, transferts de fichiers, usage IT. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Forensique SRUM : usage des applications et octets réseau https://www.windowsforensics.app/fr/blog/srum-forensics https://www.windowsforensics.app/fr/blog/srum-forensics Exploiter SRUM (SRUDB.dat) pour prouver quelles applications ont tourné, pour quel utilisateur et combien d'octets elles ont envoyés : tables, SrumECmd. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Forensique USB : retrouver clés, utilisateurs et fichiers https://www.windowsforensics.app/fr/blog/usb-device-forensics https://www.windowsforensics.app/fr/blog/usb-device-forensics Identifier chaque clé USB branchée sur un poste Windows, dater ses connexions, l'attribuer à un utilisateur et prouver quels fichiers en ont été ouverts. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Activité utilisateur : ShellBags, fichiers LNK et Jump Lists https://www.windowsforensics.app/fr/blog/user-activity-shellbags-lnk-jump-lists https://www.windowsforensics.app/fr/blog/user-activity-shellbags-lnk-jump-lists Prouver quels fichiers et dossiers un utilisateur Windows a ouverts, et quand : ShellBags, LNK, Jump Lists, clés MRU, Trust Records Office et Timeline. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Forensique navigateur sous Windows : Chrome, Edge, Firefox https://www.windowsforensics.app/fr/blog/windows-browser-forensics https://www.windowsforensics.app/fr/blog/windows-browser-forensics Analyser Chrome, Edge et Firefox sous Windows : History, téléchargements, cookies, sessions, extensions, horodatages WebKit et PRTime, WAL et suppressions. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Analyse forensique des journaux Windows : EVTX et event IDs https://www.windowsforensics.app/fr/blog/windows-event-log-forensics https://www.windowsforensics.app/fr/blog/windows-event-log-forensics Guide pratique des journaux d'événements Windows : format EVTX, canaux clés, event IDs Security et Sysmon, politique d'audit, logs effacés et outils. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Live response Windows : quoi capturer, et dans quel ordre https://www.windowsforensics.app/fr/blog/windows-live-response https://www.windowsforensics.app/fr/blog/windows-live-response La live response Windows en pratique : ordre de volatilité, mémoire d'abord, processus, réseau et sessions, outils de confiance, hashs et traces laissées. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Analyse mémoire Windows avec Volatility 3 : guide pratique https://www.windowsforensics.app/fr/blog/windows-memory-forensics-volatility https://www.windowsforensics.app/fr/blog/windows-memory-forensics-volatility Acquérir la RAM Windows, exploiter hiberfil et pagefile, puis dérouler Volatility 3 pour trouver code injecté, processus cachés et activité réseau. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Forensique du Registre Windows : ruches, clés et méthode https://www.windowsforensics.app/fr/blog/windows-registry-forensics https://www.windowsforensics.app/fr/blog/windows-registry-forensics Le Registre Windows en forensique : ruches, journaux de transactions, ControlSet, limites du LastWrite, clés supprimées, clés utiles et traitement avec RECmd. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Index Windows Search : analyse de Windows.edb et Windows.db https://www.windowsforensics.app/fr/blog/windows-search-index-forensics https://www.windowsforensics.app/fr/blog/windows-search-index-forensics Exploiter l'index Windows Search : chemins, dates, extraits de contenu, e-mails Outlook et traces de fichiers supprimés. Windows.edb, Windows.db et outils. Windows Forensics Tue, 29 Sep 2026 00:00:00 GMT Construire une super timeline avec Plaso https://www.windowsforensics.app/fr/blog/building-a-super-timeline-with-plaso https://www.windowsforensics.app/fr/blog/building-a-super-timeline-with-plaso Construire et filtrer une super timeline Windows avec Plaso : options de log2timeline, psteal et psort, fuseaux, MACB, Timeline Explorer, CSV EZ Tools, pivots. Windows Forensics Wed, 24 Jun 2026 00:00:00 GMT Preuves d'exécution : Prefetch, Amcache, BAM et autres https://www.windowsforensics.app/fr/blog/evidence-of-execution https://www.windowsforensics.app/fr/blog/evidence-of-execution Prouver qu'un programme a tourné sous Windows, pas seulement existé : Prefetch, ShimCache, Amcache, BAM, UserAssist, SRUM, PCA, WER et 4688 comparés. Windows Forensics Wed, 24 Jun 2026 00:00:00 GMT