Persistance

La persistance regroupe tous les mécanismes qui permettent à du code malveillant ou à un attaquant de retrouver une exécution après un redémarrage, une fermeture de session ou un changement d'identifiants. MITRE ATT&CK en fait une tactique à part entière, et sous Windows la liste des emplacements possibles est longue.

Les mécanismes les plus fréquents sont les clés Run et dossiers de démarrage, les services et les tâches planifiées. Au-delà, les enquêteurs rencontrent régulièrement des abonnements aux événements WMI, des débogueurs Image File Execution Options, les valeurs Winlogon Shell et Userinit, du détournement COM et des tâches BITS avec commande de notification. Certains mécanismes s'exécutent au démarrage en tant que SYSTEM, d'autres uniquement à l'ouverture de session d'un utilisateur donné : cela influe sur l'impact comme sur l'attribution.

Chaque mécanisme laisse des traces de création qu'il vaut la peine de dater. Les entrées stockées dans le Registre se datent grâce au LastWrite de la clé ; la création de services et de tâches produit des ID d'événement comme 7045 et 4698 lorsque la journalisation correspondante est active ; et les fichiers ciblés ont leurs propres horodatages dans le système de fichiers. Sysinternals Autoruns offre une vue d'ensemble sur une machine active ; hors ligne, les outils d'analyse du Registre couvrent les mêmes emplacements.

Lors de la revue, concentrez-vous sur l'inhabituel plutôt que sur l'inconnu : binaires dans des dossiers modifiables par l'utilisateur, interpréteurs de scripts ou LOLBins avec de longues lignes de commande, noms imitant des composants légitimes, entrées créées à proximité d'autres activités suspectes sur la chronologie.