Artefacts Windows Forensics

Définition

Les artefacts Windows forensics désignent l'ensemble des traces numériques générées automatiquement par le système d'exploitation lors de l'activité d'un utilisateur ou d'un programme. Conçus à l'origine pour des raisons de performance ou d'ergonomie (accélération du démarrage des applications, listes de fichiers récents, compatibilité applicative), ces mécanismes constituent aujourd'hui la matière première de toute investigation numérique. Ils permettent à l'analyste DFIR de reconstruire une chronologie d'exécution, d'identifier des binaires malveillants effacés et de prouver la consultation de répertoires ou de supports amovibles — même après suppression des fichiers eux-mêmes.

Fonctionnement technique et principaux artefacts

Chaque artefact répond à une question précise. La force de l'analyse réside dans leur corrélation, jamais dans leur lecture isolée.

• Prefetch — Fichiers C:\Windows\Prefetch\NOM.EXE-XXXXXXXX.pf. Le Cache Manager enregistre les DLL et fichiers chargés lors des dix premières secondes d'exécution. Depuis Windows 8, chaque fichier conserve les huit derniers horodatages d'exécution, un compteur de lancements et la liste des ressources référencées. Limité à 1024 entrées, souvent désactivé sur les serveurs.
• ShimCache (AppCompatCache) — Clé SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache. Elle stocke chemin complet, taille et date de dernière modification du binaire. Attention : la présence d'une entrée prouve que le fichier a été vu par le shim engine (survol dans l'explorateur inclus), pas nécessairement exécuté. Le cache n'est écrit sur disque qu'à l'arrêt du système.
• Amcache — Ruche C:\Windows\AppCompat\Programs\Amcache.hve. Elle apporte ce qui manque ailleurs : le hash SHA-1 du binaire, l'éditeur, la version et la date de première apparition. Idéal pour recouper un IOC avec VirusTotal ou une base de threat intelligence.
• BAM/DAM — Background/Desktop Activity Moderator, sous SYSTEM\CurrentControlSet\Services\bam\State\UserSettings\{SID}. Introduit avec Windows 10 1709, il associe un chemin NT (\Device\HarddiskVolume3\...) à une date d'exécution rattachée à un SID utilisateur : c'est l'un des rares artefacts qui répond à « qui a lancé quoi ».
• Fichiers LNK — Raccourcis générés dans %APPDATA%\Microsoft\Windows\Recent. Ils conservent le chemin d'origine, les horodatages MAC du fichier cible, sa taille, le numéro de série du volume et parfois l'adresse MAC de la machine. Un LNK subsiste après la suppression du document : preuve directe de l'existence d'un fichier exfiltré.
• Jump Lists — Fichiers *.automaticDestinations-ms et *.customDestinations-ms, conteneurs OLE regroupant des flux LNK et une structure DestList ordonnée par récence. L'AppID identifie l'application ayant ouvert le document (Word, 7-Zip, mstsc…).
• Shellbags — Répartis entre NTUSER.DAT et UsrClass.dat (clés BagMRU et Bags). Ils mémorisent la position et le mode d'affichage de chaque dossier parcouru, y compris sur volumes chiffrés, partages réseau ou clés USB retirées depuis longtemps.

À ces sept piliers s'ajoutent utilement UserAssist (compteur d'exécutions GUI encodé en ROT13), SRUM (SRUDB.dat, volumétrie réseau par processus, précieux en cas d'exfiltration), la MFT et le journal $UsnJrnl.

Exemples concrets

Dans une intrusion typique par ransomware, la chaîne se reconstitue ainsi : un Shellbag montre l'ouverture d'un partage \\SRV-FILES\Compta ; un fichier LNK atteste de l'ouverture d'une pièce jointe téléchargée ; le Prefetch de PSEXESVC.EXE révèle six exécutions en douze minutes ; l'Amcache fournit le SHA-1 du chiffreur, absent du disque après nettoyage ; BAM confirme que le lancement provient du compte de service svc_backup compromis. Autre cas courant : le Prefetch de RCLONE.EXE combiné à SRUM permet de chiffrer le volume exact de données sorties du SI — un élément déterminant pour la notification CNIL sous 72 heures.

Liens avec les autres concepts

Ces artefacts alimentent directement le threat hunting et la cartographie des techniques MITRE ATT&CK (T1059 exécution de commandes, T1021 mouvement latéral, T1070 effacement de traces). Ils complètent les journaux EDR et SIEM, souvent limités par une rétention courte, là où un Shellbag peut remonter à plusieurs années. Les attaquants les ciblent d'ailleurs via l'anti-forensics : timestomping, suppression du dossier Prefetch, effacement des journaux d'événements. La redondance des sources est précisément ce qui rend ces manipulations détectables.

Bonnes pratiques

• Respecter l'ordre de volatilité (RFC 3227) : capture mémoire avant acquisition disque, car ShimCache et une partie du registre ne sont pas encore écrits sur disque.
• Privilégier une acquisition de triage (KAPE, Velociraptor) sur les systèmes de production, puis une copie bit à bit lorsque la procédure judiciaire l'exige.
• Calculer les empreintes SHA-256 des éléments collectés et documenter la chaîne de custody dès la première minute.
• Construire une super timeline (plaso/log2timeline, outils Eric Zimmerman : PECmd, AmcacheParser, LECmd, JLECmd, ShellBagsExplorer) plutôt que d'analyser chaque artefact séparément.
• Ne jamais présenter une entrée ShimCache comme une preuve d'exécution ; exiger au minimum deux artefacts concordants avant toute conclusion.
• Anticiper : activer la journalisation étendue (Sysmon, PowerShell ScriptBlockLogging) et centraliser les journaux hors du périmètre compromettable.