07 · Persistance
Chasser la persistance Windows : registre, tâches, WMI
Détecter la persistance d'un attaquant sous Windows : clés Run, services, tâches planifiées, WMI, Winlogon, IFEO, COM et BITS, avec MITRE ATT&CK et outils.
Domaine 07
Persistance
Un attaquant veut survivre au redémarrage, et Windows lui offre des dizaines de moyens d'y parvenir. Ce domaine rattache chaque mécanisme de persistance à MITRE ATT&CK, montre où il se trouve sur disque et dans le registre, quels événements enregistrent sa création, et comment balayer un poste méthodiquement.
Sources clés
- Run keys
- Services
- Scheduled Tasks
Guides de ce domaine
Fiches artefacts
Emplacement selon la version de Windows, ce que prouve chaque artefact, ses horodatages et les outils pour l'analyser.
- Clés Run et dossiers DémarrageFiche clés Run et dossiers Démarrage : chemins Run, RunOnce, Wow6432Node et Policies, octets StartupApproved activé/désactivé, horodatages.
- Services WindowsFiche services Windows : valeurs de la clé Services (ImagePath, Start, Type, ServiceDll), événements 7045 et 4697, traces de PsExec et pièges.
- Tâches planifiéesFiche tâches planifiées : XML et .job, clés TaskCache, horodatages DynamicInfo, tâches masquées, événements TaskScheduler et 4698.
- Référentiel WMI et SCCM RecentlyUsedAppsFiche référentiel WMI : OBJECTS.DATA, filtres, consommateurs et liaisons d'événements, WMI-Activity 5857–5861, fichiers MOF et CCM_RecentlyUsedApps.
- Persistance IFEO et WinlogonFiche IFEO et Winlogon : détournement par Debugger, GlobalFlag et SilentProcessExit, porte dérobée sticky keys, Userinit/Shell, Notify, AppInit_DLLs.
- Tâches BITS (base qmgr)Fiche tâches BITS : qmgr0.dat/qmgr1.dat ou qmgr.db (ESE), événements Bits-Client 3, 4, 59, 60, persistance SetNotifyCmdLine et BitsParser.
- Pilotes noyau (.sys, services de pilote, BYOVD)Fiche pilotes noyau : services de pilote (Type 1/2), événement 7045, DriverStore, setupapi.dev.log, Amcache et journaux CodeIntegrity contre BYOVD et rootkits.
- Artefacts de stratégie de groupeFiche stratégie de groupe : SYSVOL, Registry.pol, mots de passe GPP, historique côté client et journaux, et comment les attaquants détournent les GPO.
- Serveur et client OpenSSHFiche OpenSSH sous Windows : journal de sshd, sshd_config et clés d'hôte, persistance par authorized_keys, known_hosts, traces du client et tunnels inversés.
- Outils d'accès distant (RMM)Fiche RMM et outils d'accès distant : AnyDesk, TeamViewer, ScreenConnect, leurs journaux, IDs de connexion, IP et horodatages, et comment traquer l'abus.
- Journaux du serveur web IISFiche journaux IIS : emplacement des logs W3C par site, horodatage UTC, champs par défaut, HTTPERR, applicationHost.config et chasse aux webshells sur Windows.