Glossaire
Preuve d'exécution
Les artefacts qui montrent qu'un programme s'est réellement exécuté sous Windows, et pas seulement qu'il était présent sur le disque.
La preuve d'exécution (evidence of execution) désigne l'ensemble des traces qui permettent d'affirmer qu'un programme a été lancé sur un système, et idéalement quand, combien de fois et sous quel compte. C'est l'une des questions les plus fréquentes dans une intrusion : un outil d'attaquant présent sur le disque est une chose, la preuve qu'il a été exécuté en est une autre.
Aucun artefact ne répond seul à la question, et chacun a une valeur probante différente. Prefetch enregistre le nom de l'exécutable, un compteur d'exécutions et les dernières dates de lancement. BAM / DAM et UserAssist rattachent un lancement à un utilisateur précis. D'autres sources sont plus faibles : Amcache et ShimCache prouvent souvent seulement qu'un binaire était présent ou a été vu par le moteur de compatibilité, en particulier sous Windows 10 et versions ultérieures. Les considérer comme une preuve d'exécution est une erreur classique.
La bonne pratique consiste à corroborer. Croisez plusieurs sources indépendantes, comparez leurs horodatages avec ceux du binaire lui-même dans $STANDARD_INFORMATION et $FILE_NAME, et cherchez des traces complémentaires : journaux d'événements, enregistrements d'utilisation SRUM ou fichiers créés par le programme. Quand les artefacts se contredisent, comprenez ce que chacun enregistre réellement avant de conclure. L'absence de trace compte aussi : Prefetch peut être désactivé, et plusieurs sources sont plafonnées ou tournantes.
Artefacts concernés
- Amcache.hveFiche Amcache.hve : clés d'inventaire des fichiers et programmes, SHA-1, métadonnées PE, horodatages, et pourquoi une entrée ne prouve pas l'exécution.
- Assistant Compatibilité des programmes (PCA)Fiche PCA : fichiers PcaAppLaunchDic.txt et PcaGeneralDb de Windows 11, clé AppCompatFlags Store, champs et horodatages UTC des lancements.
- BAM / DAM (Background Activity Moderator)Fiche BAM et DAM : clés de la ruche SYSTEM selon la version de Windows 10, SID par utilisateur, dernière exécution en FILETIME, rétention de sept jours.
- CapabilityAccessManager (caméra, micro, position)Fiche CapabilityAccessManager : clés ConsentStore, LastUsedTimeStart et Stop de la webcam et du micro par application, base SQLite de Windows 11.
- Fichiers PE (exécutables Windows)Fiche de tri des fichiers PE : hash, imphash et en-tête Rich, limites de la date de compilation, sections et entropie, informations de version, signatures, PDB.
- Fichiers Prefetch (.pf)Fiche Prefetch Windows : emplacement des .pf par version, nombre d'exécutions, huit dernières dates, fichiers référencés, rétention et analyse.
- Journal d'événements SysmonFiche Sysmon : emplacement du journal Operational, ID d'événements clés, corrélation ProcessGuid et hash, config dans le registre, altérations et outils.
- Journaux et historique PowerShellForensique PowerShell : journaux 4103/4104, événements 400/403/800, historique PSReadLine ConsoleHost_history.txt, transcriptions et clés de stratégie.
- Journaux et quarantaine Microsoft DefenderForensique Microsoft Defender : événements 1116/1117/5001/5007, fichiers MPLog, DetectionHistory, quarantaine chiffrée, exclusions et traces de sabotage.
- MUICacheFiche MUICache : emplacements dans UsrClass.dat et NTUSER.DAT, valeurs FriendlyAppName et ApplicationCompany, ce qu'elles prouvent et limites de datation.
- Rapports d'erreurs Windows (WER)Fiche Windows Error Reporting : dossiers Report.wer, champs AppPath et SHA-1, événements Application 1000/1001/1002, vidages LocalDumps et rétention.
- RecentFileCache.bcfFiche RecentFileCache.bcf : l'artefact d'exécution de Windows 7 qui liste les exécutables lancés récemment, son emplacement, son format et son analyse.
- Référentiel WMI et SCCM RecentlyUsedAppsFiche référentiel WMI : OBJECTS.DATA, filtres, consommateurs et liaisons d'événements, WMI-Activity 5857–5861, fichiers MOF et CCM_RecentlyUsedApps.
- RunMRUFiche RunMRU : commandes saisies dans la boîte Exécuter (Win+R) dans NTUSER.DAT, ordre MRUList, sens du LastWrite et motifs LOLBin ou UNC à rechercher.
- ShimCache (AppCompatCache)Fiche ShimCache (AppCompatCache) : emplacement dans SYSTEM, nombre d'entrées par version, ordre, sens de l'horodatage et limites comme preuve d'exécution.
- Sous-système Windows pour Linux (WSL)Fiche WSL : clé de registre Lxss, rootfs WSL1 ou ext4.vhdx WSL2, bash_history des distributions, traces d'exécution de wsl.exe, partage wsl$ et évasion.
- SRUM (System Resource Usage Monitor)Fiche SRUM : tables et GUID de SRUDB.dat, octets réseau et temps CPU par application, enregistrements horaires UTC, rétention de 30 à 60 jours, réparation ESE.
- Syscache.hveFiche Syscache.hve : la ruche de Windows 7 / Server 2008 R2 dans System Volume Information qui relie identifiants MFT et SHA-1, et ses limites.
- UserAssistFiche UserAssist : clés GUID de NTUSER.DAT, noms en ROT13, nombre d'exécutions, temps au premier plan et dernière exécution des programmes lancés.
- Windows Timeline (ActivitiesCache.db)Fiche Windows Timeline : ActivitiesCache.db et WAL, tables Activity, valeurs ActivityType, durée au premier plan, presse-papiers, expiration à 30 jours.