04 · Preuves d'exécution
Preuves d'exécution : Prefetch, Amcache, BAM et autres
Prouver qu'un programme a tourné sous Windows, pas seulement existé : Prefetch, ShimCache, Amcache, BAM, UserAssist, SRUM, PCA, WER et 4688 comparés.
Domaine 04
Preuves d'exécution
Démontrer qu'un malware ou un outil s'est exécuté est souvent le cœur d'un dossier. Ce domaine compare Prefetch, Amcache, ShimCache, BAM, UserAssist, SRUM et des sources plus récentes comme le Program Compatibility Assistant, avec la signification réelle de chaque horodatage selon la version de Windows.
Sources clés
- Prefetch
- Amcache.hve
- ShimCache
Guides de ce domaine
04 · Preuves d'exécution
Forensique SRUM : usage des applications et octets réseau
Exploiter SRUM (SRUDB.dat) pour prouver quelles applications ont tourné, pour quel utilisateur et combien d'octets elles ont envoyés : tables, SrumECmd.
04 · Preuves d'exécution
Forensic du phishing : MotW, ISO, LNK et accès initial
Remonter un phishing de l'e-mail à la première exécution : fichiers temporaires Outlook, Zone.Identifier, contournement MotW par ISO et LNK, macros, LOLBins.
Fiches artefacts
Emplacement selon la version de Windows, ce que prouve chaque artefact, ses horodatages et les outils pour l'analyser.
- Fichiers Prefetch (.pf)Fiche Prefetch Windows : emplacement des .pf par version, nombre d'exécutions, huit dernières dates, fichiers référencés, rétention et analyse.
- Amcache.hveFiche Amcache.hve : clés d'inventaire des fichiers et programmes, SHA-1, métadonnées PE, horodatages, et pourquoi une entrée ne prouve pas l'exécution.
- ShimCache (AppCompatCache)Fiche ShimCache (AppCompatCache) : emplacement dans SYSTEM, nombre d'entrées par version, ordre, sens de l'horodatage et limites comme preuve d'exécution.
- BAM / DAM (Background Activity Moderator)Fiche BAM et DAM : clés de la ruche SYSTEM selon la version de Windows 10, SID par utilisateur, dernière exécution en FILETIME, rétention de sept jours.
- UserAssistFiche UserAssist : clés GUID de NTUSER.DAT, noms en ROT13, nombre d'exécutions, temps au premier plan et dernière exécution des programmes lancés.
- SRUM (System Resource Usage Monitor)Fiche SRUM : tables et GUID de SRUDB.dat, octets réseau et temps CPU par application, enregistrements horaires UTC, rétention de 30 à 60 jours, réparation ESE.
- MUICacheFiche MUICache : emplacements dans UsrClass.dat et NTUSER.DAT, valeurs FriendlyAppName et ApplicationCompany, ce qu'elles prouvent et limites de datation.
- Assistant Compatibilité des programmes (PCA)Fiche PCA : fichiers PcaAppLaunchDic.txt et PcaGeneralDb de Windows 11, clé AppCompatFlags Store, champs et horodatages UTC des lancements.
- RecentFileCache.bcfFiche RecentFileCache.bcf : l'artefact d'exécution de Windows 7 qui liste les exécutables lancés récemment, son emplacement, son format et son analyse.
- Programmes installés (clés Uninstall, MSI, AppX)Fiche programmes installés : clés Uninstall, événements MSI 1033/11707, MSI en cache, paquets AppX, journaux winget et Amcache pour dater les installations.
- Pilotes noyau (.sys, services de pilote, BYOVD)Fiche pilotes noyau : services de pilote (Type 1/2), événement 7045, DriverStore, setupapi.dev.log, Amcache et journaux CodeIntegrity contre BYOVD et rootkits.
- Sous-système Windows pour Linux (WSL)Fiche WSL : clé de registre Lxss, rootfs WSL1 ou ext4.vhdx WSL2, bash_history des distributions, traces d'exécution de wsl.exe, partage wsl$ et évasion.
- Fichiers PE (exécutables Windows)Fiche de tri des fichiers PE : hash, imphash et en-tête Rich, limites de la date de compilation, sections et entropie, informations de version, signatures, PDB.
- Syscache.hveFiche Syscache.hve : la ruche de Windows 7 / Server 2008 R2 dans System Volume Information qui relie identifiants MFT et SHA-1, et ses limites.