08 · Mouvement latéral
Mouvement latéral : traces RDP, PsExec, WMI et WinRM
Artefacts côté source et côté destination pour RDP, PsExec, SMB, WMI, WinRM, tâches planifiées et DCOM, et construction du graphe de mouvement latéral.
Domaine 08
Mouvement latéral
Une intrusion reste rarement sur une seule machine. Ce domaine associe les artefacts source et destination de RDP, PsExec, des partages d'administration, WMI, WinRM et des tâches planifiées distantes, explique les types de connexion et événements d'identifiants associés, et montre comment tracer le graphe de déplacement sur un parc.
Sources clés
- 4624 type 10
- PsExec
- WinRM
Guides de ce domaine
08 · Mouvement latéral
Vol d'identifiants Windows : LSASS, DCSync et Kerberoasting
Enquêter sur le vol d'identifiants Windows : dumps LSASS, SAM et NTDS.dit, DCSync, DPAPI, Kerberoasting et AS-REP roasting, avec événements et ATT&CK.
08 · Mouvement latéral
Outils d'accès distant : forensic d'AnyDesk et TeamViewer
Enquêter sur les outils RMM et d'accès à distance détournés : traces d'installation, journaux par outil, ID et IP de session, transferts de fichiers, usage IT.
Fiches artefacts
Emplacement selon la version de Windows, ce que prouve chaque artefact, ses horodatages et les outils pour l'analyser.
- Traces de connexions RDPFiche forensique RDP : ID côté cible (4624 type 10, 1149, 21 à 25, 131) et traces côté source (clés Terminal Server Client, Default.rdp, événement 1024).
- Cache bitmap RDPFiche cache bitmap RDP : fichiers bcache*.bmc et Cache*.bin du client RDP, ce que révèlent les tuiles d'écran, horodatages, reconstitution avec bmc-tools.
- Journaux d'événements Windows (EVTX)Fiche des journaux d'événements Windows : emplacements EVTX, ID indispensables (connexions, processus, services, effacement), rétention, audit et outils.
- Services WindowsFiche services Windows : valeurs de la clé Services (ImagePath, Start, Type, ServiceDll), événements 7045 et 4697, traces de PsExec et pièges.
- Tâches planifiéesFiche tâches planifiées : XML et .job, clés TaskCache, horodatages DynamicInfo, tâches masquées, événements TaskScheduler et 4698.
- Outils d'accès distant (RMM)Fiche RMM et outils d'accès distant : AnyDesk, TeamViewer, ScreenConnect, leurs journaux, IDs de connexion, IP et horodatages, et comment traquer l'abus.
- Serveur et client OpenSSHFiche OpenSSH sous Windows : journal de sshd, sshd_config et clés d'hôte, persistance par authorized_keys, known_hosts, traces du client et tunnels inversés.
- DPAPI et Gestionnaire d'identifiantsFiche DPAPI et Gestionnaire d'identifiants : clés maîtresses, coffre Windows, secrets stockés, prérequis de déchiffrement hors ligne et traces de vol.
- NTDS.dit et contrôleurs de domaineFiche NTDS.dit : la base Active Directory, ce qu'elle prouve, les traces de vol sur un DC et les Event IDs Kerberos, NTLM et DCSync utiles à l'enquêteur.
- Journaux du pare-feu WindowsFiche pare-feu Windows : format et réglages de pfirewall.log, événements de règles 2004-2006, audit WFP 5156/5157, règles dans le registre et abus de netsh.