ExifTool Metadata Forensics

Définition

ExifTool est un outil open source de lecture et d'écriture de métadonnées pour pratiquement tous les formats de fichiers numériques : images (JPEG, PNG, TIFF, RAW), documents (PDF, Word, Excel), vidéos (MP4, MOV, AVI), et fichiers audio (MP3, WAV). Dans le contexte forensique, ExifTool permet d'extraire des métadonnées qui peuvent révéler des informations précieuses sur l'origine des fichiers, les appareils utilisés, et les modifications effectuées. Les métadonnées les plus forensiquement pertinentes extraites par ExifTool pour les fichiers image incluent : les données GPS (latitude, longitude, altitude — qui géolocalisent précisément où une photo a été prise), les informations d'appareil (fabricant, modèle, numéro de série pour les appareils photo), les données de l'objectif, les réglages d'exposition, l'horodatage EXIF (date/heure de prise de vue telle qu'enregistrée par l'appareil), et les informations de logiciel (quelle application a généré ou modifié le fichier). Pour les documents Office (Word, Excel, PDF), ExifTool extrait : le nom de l'auteur original, le nom de la dernière personne ayant modifié le document, les dates de création et de modification, le nom de l'application utilisée pour créer le document, le nombre de révisions, et le chemin vers le modèle utilisé. Ces métadonnées sont précieuses dans les enquêtes de propriété intellectuelle, de fraude documentaire, ou d'attribution d'attaques (un document malveillant créé avec un logiciel en cyrillique suggère une origine russophone). Le nettoyage des métadonnées (metadata stripping) est une contre-mesure anti-forensique courante : les attaquants effacent les métadonnées des documents malveillants avant de les envoyer. L'absence complète de métadonnées est elle-même un indicateur suspect pour des fichiers qui devraient normalement en contenir. ExifTool peut identifier les fichiers avec métadonnées inhabituellement réduites ou effacées. Pour les photos de OSINT et d'attribution, ExifTool extrait les coordonnées GPS en format décimal directement exploitable dans Google Maps ou OpenStreetMap, permettant de géolocaliser des incidents ou d'identifier des emplacements significatifs.