Forensique Disque : Acquisition d'Image et Analyse

Chaque action réalisée sur un système informatique laisse des traces persistantes sur le disque. L'exécution d'un programme génère un fichier Prefetch sous Windows, l'ouverture d'un document alimente les Jump Lists et crée des fichiers LNK, tandis que la suppression d'un fichier se limite à marquer les clusters comme disponibles dans la table d'allocation : les données restent physiquement présentes jusqu'à leur écrasement. Exploiter ces vestiges suppose une méthodologie rigoureuse, articulée autour de la forensique disque autopsy ftk acquisition, où l'image bit à bit précède toute analyse. L'investigateur travaille exclusivement sur une copie vérifiée par empreinte cryptographique, protégée par un bloqueur en écriture, afin de préserver l'intégrité de la preuve. Les suites Autopsy et FTK Imager permettent ensuite de reconstruire la chronologie des événements, de récupérer les fichiers effacés et d'exploiter l'espace non alloué.

Pourquoi l'analyse forensique du disque est décisive

L'analyse forensique de disque est donc une discipline fondamentale du DFIR (Digital Forensics and Incident Response). Elle permet de répondre aux questions essentielles d'une investigation : Qui a effectué quoi, quand, comment et avec quel impact. Que l'incident soit un ransomware, une exfiltration de données, une compromission par rootkit kernel-mode ou un abus interne, le disque recèle les preuves nécessaires à la compréhension de l'attaque et à la constitution du dossier judiciaire.

Guymager est un outil d'acquisition graphique open source intégré aux distributions forensiques CAINE, SIFT et Tsurugi. Il se distingue par son moteur

Formats d'image forensique

Live vs Dead acquisition

Vos journaux d'événements sont-ils conservés suffisamment longtemps pour une investigation ?

ext4 (Linux) : le système de fichiers ext4 utilise des inodes pour stocker les métadonnées. Le journal (journal=data ou journal=ordered) enregistre les modifications. Les fichiers supprimés voient leur inode marqué comme libre mais les données persistent. L'outil extundelete permet la récupération. Les permissions Unix (uid, gid, mode) sont des artefacts forensiques utiles.

APFS (Apple) : le système de fichiers d'Apple (macOS 10.13+, iOS 10.3+) utilise un conteneur avec un ou plusieurs volumes. Les fonctionnalités de snapshot intégrées permettent de récupérer des états antérieurs du système de fichiers. La persistance sur macOS et Linux fait l'objet de techniques spécifiques documentées dans notre article sur la persistence macOS/Linux.

FAT32 : système de fichiers hérité encore présent sur les clés USB et les cartes SD. La suppression d'un fichier remplace le premier caractère du nom par 0xE5 dans l'entrée de répertoire. La récupération est souvent triviale. FAT32 ne stocke pas de permissions, ce qui limite les artefacts forensiques disponibles.

# Analyse SRUM avec SrumECmd (Eric Zimmerman)
SrumECmd.exe -f "C:\Windows\System32\sru\SRUDB.dat" \
 -r "C:\Windows\System32\config\SOFTWARE" \
 --csv C:\output\ --csvf srum.csv

# Sous Linux avec srum-dump
python srum_dump.py -i SRUDB.dat -r SOFTWARE -o srum_output.xlsx

Jump Lists, fichiers LNK et Recycle Bin

Jump Lists (%AppData%\Microsoft\Windows\Recent\AutomaticDestinations\ et CustomDestinations\) enregistrent les fichiers récemment ouverts par chaque application. Chaque entrée contient le chemin complet du fichier, les timestamps d'accès et le numéro de série du volume. Ils révèlent quels documents ont été consultés, même sur des partages réseau ou des clés USB.

Fichiers LNK (raccourcis Windows, %AppData%\Microsoft\Windows\Recent\) contiennent des métadonnées précieuses : chemin cible, taille du fichier, timestamps MACB, adresse MAC de l'interface réseau (si le fichier était sur un partage réseau), numéro de série du volume. Ils persistent même après la suppression du fichier cible.

Recycle Bin (C:\$Recycle.Bin\{SID}\) : lorsqu'un fichier est supprimé via l'Explorateur, il est déplacé dans la Corbeille. Le fichier $I contient les métadonnées (chemin original, date de suppression, taille) tandis que le fichier $R contient les données. L'analyse de la Corbeille révèle les fichiers que l'utilisateur ou l'attaquant a tenté de supprimer.

Thumbcache et USN Journal

Thumbcache (%LocalAppData%\Microsoft\Windows\Explorer\thumbcache_*.db) stocke les miniatures générées par l'Explorateur Windows pour les images, vidéos et documents. Même après la suppression d'une image, sa miniature peut persister dans le thumbcache, fournissant une preuve visuelle de son existence passée. L'outil Thumbcache Viewer permet d'extraire ces miniatures.

Le USN Journal ($Extend\$UsnJrnl:$J) enregistre chaque modification du système de fichiers NTFS : créations, suppressions, renommages, modifications de contenu et d'attributs. Chaque entrée contient un timestamp, le nom du fichier, le type de modification et la référence MFT. Le journal USN est crucial pour reconstituer la chronologie des actions d'un attaquant, notamment la dépose de fichiers malveillants, leur exécution et leur suppression ultérieure.

Récupération de données

File carving : récupération par signatures

Le file carving est une technique de récupération de fichiers basée sur leurs signatures (magic bytes) plutôt que sur les métadonnées du système de fichiers. Cette méthode est particulièrement efficace lorsque le système de fichiers est endommagé, que les entrées de répertoire ont été écrasées ou que le disque a été intentionnellement reformaté.

Le principe est simple : scanner le disque (ou l'espace non alloué) à la recherche de séquences d'octets connues correspondant aux en-têtes et pieds de page des formats de fichiers. Par exemple, un fichier JPEG commence par FF D8 FF et se termine par FF D9. Un fichier PDF commence par %PDF et se termine par %%EOF.

# File carving avec Photorec (open source, très efficace)
photorec /evidence/disk.raw

# File carving avec Scalpel (configurable)
scalpel -b -o /output/carved/ /evidence/disk.raw

# File carving avec foremost
foremost -t jpg, pdf, docx, xlsx -o /output/carved/ -i /evidence/disk.raw

# Carving ciblé sur l'espace non alloué uniquement
# 1. Extraire l'espace non alloué avec blkls (TSK)
blkls /evidence/disk.raw > unallocated.raw

# 2. Carver l'espace non alloué
photorec unallocated.raw

Récupération de fichiers supprimés

La suppression d'un fichier dans la plupart des systèmes de fichiers ne fait que marquer les clusters comme libres et modifier l'entrée de répertoire. Les données restent physiquement sur le disque jusqu'à leur écrasement par de nouvelles données. La récupération est possible tant que les secteurs n'ont pas été réutilisés.

Dans Autopsy, les fichiers supprimés sont automatiquement détectés et affichés dans la section "Deleted Files". L'outil les identifie par l'analyse de la MFT (entrées marquées comme non allouées), du journal USN et de l'espace non alloué. Le taux de récupération dépend du temps écoulé depuis la suppression et de l'activité du système (écriture de nouvelles données).

# Lister les fichiers supprimés avec TSK
fls -rd /evidence/disk.raw

# Récupérer un fichier supprimé par son numéro d'inode
icat /evidence/disk.raw 67890 > recovered_file.xlsx

# Récupération massive avec tsk_recover
tsk_recover -e /evidence/disk.raw /output/recovered/

# Sur ext4 avec extundelete
extundelete --restore-all /evidence/disk.raw

# Sur NTFS avec ntfsundelete
ntfsundelete /evidence/disk.raw -t 7d -p '*.docx' -d /output/

Analyse avancée

Détection de stéganographie

La stéganographie est l'art de dissimuler des informations dans un fichier porteur (image, audio, vidéo) de manière invisible. Un attaquant peut exfiltrer des données en les cachant dans des images apparemment anodines. La détection repose sur l'analyse statistique des fichiers :

• Analyse chi-carré : détecte les anomalies dans la distribution des bits de poids faible (LSB).
• Comparaison de taille : un fichier image anormalement volumineux par rapport à ses dimensions peut contenir des données cachées.
• Outils spécialisés : StegDetect, Stegsolve, zsteg (PNG/BMP), steghide (JPEG).

# Détection stéganographie dans les images PNG
zsteg -a image_suspecte.png

# Analyse stéganographique JPEG
stegdetect image_suspecte.jpg

# Extraction de données cachées (si mot de passe connu)
steghide extract -sf image.jpg -p "password"

# Analyse en masse des images du disque
find /mnt/evidence/ -name "*.jpg" -exec stegdetect {} \; > steg_results.txt

Volumes chiffrés et conteneurs

La détection de volumes chiffrés est une étape critique de l'analyse. Les indicateurs incluent :

• BitLocker : signature -FVE-FS- dans le Boot Sector, métadonnées BitLocker dans les 3 premiers secteurs.
• VeraCrypt / TrueCrypt : absence de signature identifiable (conception anti-forensique), entropie élevée uniforme sur tout le volume.
• LUKS (Linux) : signature LUKS\xba\xbe en début de partition.
• FileVault 2 (macOS) : structure Core Storage détectable.

L'accès au contenu chiffré nécessite la clé de déchiffrement. En acquisition live, les clés peuvent être extraites de la mémoire RAM. En acquisition dead, les clés de récupération BitLocker peuvent être trouvées dans l'Active Directory, le compte Microsoft ou un fichier de sauvegarde. Pour les bootkits UEFI, la compromission du processus de démarrage peut également compromettre le chiffrement de disque.

Détection d'anti-forensics

Les attaquants aboutis utilisent des techniques d'anti-forensics pour entraver l'investigation. L'analyste doit être capable de les détecter :

Les infostealers modernes incluent souvent des routines de nettoyage automatique après l'exfiltration des données, rendant l'analyse de ces artefacts anti-forensics particulièrement importante.

Reporting : génération de rapport

Rapport Autopsy

Autopsy intègre un module de génération de rapports qui produit des documents structurés au format HTML, Excel ou texte. Le rapport inclut automatiquement les artefacts identifiés (fichiers marqués, résultats de recherche par mots-clés, hash matches), les propriétés du cas et les métadonnées des sources de données. L'analyste peut personnaliser le rapport en sélectionnant les modules à inclure et en ajoutant des commentaires sur les artefacts importants (fonctionnalité de tagging).

Timeline export et corrélation

L'export de la timeline au format CSV permet une corrélation avec d'autres sources de données : logs SIEM, logs réseau, alertes EDR. En important la timeline dans un tableur ou un outil de visualisation (Timeline Explorer d'Eric Zimmerman, Kibana, Splunk), l'analyste peut filtrer, trier et croiser les événements pour reconstituer la séquence complète de l'attaque.

# Export complet de la super timeline
psort.py -o l2tcsv timeline.plaso \
 "date > '2026-02-10 00:00:00' AND date < '2026-02-15 23:59:59'" \
 > incident_timeline.csv

# Filtrage des événements pertinents
psort.py -o l2tcsv timeline.plaso \
 "source_short == 'FILE' AND filename contains 'mimikatz'" \
 > mimikatz_timeline.csv

# Génération de rapport HTML Autopsy (ligne de commande)
# Via l'interface graphique : Generate Report > HTML Report
# Sélectionner les modules et artefacts à inclure

Pour approfondir ce sujet, consultez notre outil open-source network-forensics-tool qui facilite l'analyse forensique du trafic réseau.

Analyse des impacts et recommandations

L'analyse des risques associés à cette problématique révèle des impacts potentiels significatifs sur la confidentialité, l'intégrité et la disponibilité des systèmes d'information. Les recommandations présentées s'appuient sur les référentiels de l'ANSSI et du NIST pour garantir une approche structurée de la remédiation.

Mise en œuvre opérationnelle

La mise en œuvre des mesures de sécurité décrites dans cet article nécessite une approche progressive, en commençant par les actions à gain rapide avant de déployer les contrôles plus complexes. Un plan d'action priorisé permet de maximiser la réduction du risque tout en respectant les contraintes opérationnelles de l'organisation.

Incident en cours ? Réponse d'urgence

Investigation numérique, forensics, réponse à incident — intervention rapide, rapport exploitable.

Contacter un expert forensics ayi@ayinedjimi-consultants.fr