Anti-Forensics Techniques

Définition

Les techniques anti-forensiques (Anti-Forensics) sont les méthodes utilisées par les attaquants pour compliquer, retarder, ou empêcher les investigations forensiques numériques. Leur compréhension est essentielle pour les investigators afin d'identifier les traces de leur utilisation et de contourner leurs effets. Les principales catégories d'anti-forensics incluent : la destruction de preuves, le camouflage, la modification de données, et la sur-charge informationnelle. La destruction de preuves comprend : l'effacement sécurisé de fichiers (overwriting avec des outils comme sdelete, wipe, shred), la corruption de logs (truncation des fichiers de log, suppression des entrées), le formatage de médias, et l'utilisation de systèmes de fichiers chiffrés. La détection de ces activités repose sur les artefacts résiduels : les entrées de Prefetch pour les outils d'effacement exécutés, les logs Windows Defender d'actions bloquées, et les VSS qui peuvent contenir des copies avant effacement. Le camouflage inclut : le timestomping (modification des timestamps), les Alternate Data Streams (ADS) pour cacher des données dans des fichiers visibles, la stéganographie (cacher des données dans des fichiers images ou audio), les rootkits pour cacher des processus et fichiers, et l'obfuscation de code (scripts PowerShell encodés en Base64 ou XOR, packers pour les exécutables). La modification de données comprend : l'injection de faux artefacts pour induire l'investigation en erreur (false flag attribution), la modification des Event Logs Windows (wevtutil cl Security par exemple), et la modification des logs d'accès réseau. L'intégrité des logs peut être partiellement validée par les hash chains journald (Linux) ou les Windows Event Log signing. La sur-charge informationnelle consiste à générer un volume de données ou d'activités anormal pour noyer les artefacts malveillants dans du bruit : génération de milliers de connexions réseau aléatoires, création de nombreux fichiers temporaires, ou exécution de nombreux processus pour rendre la timeline forensique difficile à analyser. Pour chaque technique anti-forensique, des contre-mesures forensiques existent : comparaison avec les VSS, analyse des Prefetch, corrélation multi-sources, et recherche des outils anti-forensiques eux-mêmes dans les artefacts d'exécution.