09 · USB et périphériques externes
Forensique USB : retrouver clés, utilisateurs et fichiers
Identifier chaque clé USB branchée sur un poste Windows, dater ses connexions, l'attribuer à un utilisateur et prouver quels fichiers en ont été ouverts.
Domaine 09
USB et périphériques externes
Une enquête d'exfiltration tient souvent à une seule clé USB. Ce domaine couvre l'identification des périphériques dans le registre, les horodatages de connexion selon les versions de Windows, l'attribution à un utilisateur via MountPoints2, le journal Partition/Diagnostic, et le rapprochement du numéro de série de volume avec les fichiers LNK et les ShellBags.
Sources clés
- USBSTOR
- setupapi.dev.log
- Partition/Diagnostic
Guides de ce domaine
Fiches artefacts
Emplacement selon la version de Windows, ce que prouve chaque artefact, ses horodatages et les outils pour l'analyser.
- Historique des périphériques USBFiche forensique USB : clés USBSTOR et USB, numéros de série, première et dernière connexion, lettres de lecteur, setupapi.dev.log et événements.
- Fichiers de raccourci LNKFiche LNK : raccourcis du dossier Recent, première et dernière ouverture, horodatages de la cible, numéro de série, partage réseau et adresse MAC.
- ShellBagsFiche ShellBags : clés BagMRU et Bags dans UsrClass.dat et NTUSER.DAT, shell items, horodatages des dossiers, dossiers supprimés et USB, analyse avec SBECmd.
- Jump ListsFiche Jump Lists : AutomaticDestinations et CustomDestinations, AppID, entrées DestList avec dernier accès, nombre d'accès, épinglage, et JLECmd.
- Périphériques Bluetooth appairésFiche Bluetooth : clés BTHPORT des appareils appairés, adresses MAC et noms, dates LastSeen/LastConnected, BTHENUM, journaux et transferts fsquirt.
- Images disque montées (ISO, IMG, VHD, VHDX)Fiche images disque montées : ISO/IMG/VHD/VHDX, événements VHDMP, MountedDevices, traces LNK et Jump Lists, failles Mark-of-the-Web et méthode de détection.
- Fichiers du spouleur d'impression (.SPL et .SHD)Fiche spouleur d'impression : fichiers .SPL et .SHD de spool\PRINTERS, récupération EMF, événement 307 PrintService, pilotes et traces PrintNightmare.