Autoruns Forensics

Définition

Autoruns est l'outil Sysinternals (Microsoft) le plus complet pour l'analyse des mécanismes de démarrage automatique (auto-start extensibility points, ASEPs) sur Windows. Il énumère exhaustivement tous les emplacements où des programmes peuvent être configurés pour s'exécuter automatiquement, et constitue un outil de référence incontournable pour la détection de malwares et de persistances dans les investigations DFIR. Autoruns couvre plus de 30 catégories d'emplacements de démarrage automatique : les clés Run/RunOnce/RunOnceEx du registre (HKLM et HKCU), les services Windows, les pilotes, les tâches planifiées, les extensions d'interface (shell extensions, browser helper objects, toolbar), les hooks d'entrée et d'impression, les Winlogon notifications, les LSA providers, les KnownDLLs, les Winsock LSP providers, les DLL hijacking via AppInit_DLLs, les filtres de démarrage (boot execute), et bien d'autres. La fonctionnalité de vérification des signatures numériques est particulièrement précieuse : Autoruns peut automatiquement vérifier la signature de chaque exécutable listéet mettre en surbrillance ceux non signés, signés de manière invalide, ou non vérifiés (case "Verify Code Signatures" dans Options). Cette fonctionnalité réduit considérablement le bruit en permettant de se concentrer sur les entrées suspectes. VirusTotal Integration permet d'envoyer automatiquement le hash de chaque entrée à VirusTotal et d'afficher le résultat directement dans l'interface, offrant une qualification rapide des exécutables inconnus. La fonction "Compare" permet de comparer deux snapshots Autoruns (avant/après incident ou avant/après nettoyage) pour identifier précisément les changements. Pour les investigations forensiques offline, Autoruns peut analyser des images disques montées ou des copies des hives de registre, permettant l'analyse sans démarrer le système suspect. Autorunsc.exe (version ligne de commande) permet l'intégration dans des scripts de collecte automatisée et l'export en CSV ou XML.