Anti-forensique

L'anti-forensique regroupe les techniques qu'un attaquant ou un utilisateur emploie pour détruire, dissimuler ou falsifier des preuves et ralentir une investigation. Sous Windows, les plus courantes sont l'effacement des journaux d'événements, la modification des horodatages de fichiers (timestomping), la suppression des clichés instantanés de volume avec vssadmin ou WMI, la suppression du journal USN avec fsutil usn deletejournal, l'effacement sécurisé de fichiers ou de l'espace libre, le nettoyage de l'historique de navigation et la désactivation de la journalisation ou de fournisseurs ETW.

L'idée clé est que l'anti-forensique laisse rarement une page blanche. L'effacement du journal Security enregistre l'événement 1102 et celui du journal System l'événement 104 dans les journaux d'événements Windows. L'exécution d'un outil d'effacement ou de nettoyage peut elle-même laisser des traces dans le Prefetch, l'Amcache ou d'autres artefacts d'exécution. Des journaux supprimés restent parfois récupérables depuis les clichés instantanés, l'espace non alloué ou d'autres fichiers de métadonnées NTFS, et les fichiers « timestompés » présentent souvent des incohérences entre leurs attributs $STANDARD_INFORMATION et $FILE_NAME.

Considérez les lacunes comme des données. Un journal qui commence quelques minutes avant le début de la réponse à incident, un journal USN dont le premier enregistrement est étonnamment récent ou une machine sans aucun cliché alors que la politique en prévoit sont autant de constats à documenter. Ils ne prouvent pas à eux seuls une intention malveillante — administrateurs et logiciels de nettoyage font parfois de même — mais ils resserrent la chronologie et montrent où l'attaquant ne voulait pas que vous regardiez.