Mimikatz Forensics Detection

Définition

La détection forensique de l'utilisation de Mimikatz est une compétence centrale en DFIR car cet outil de credential harvesting open source est utilisé dans la quasi-totalité des intrusions avancées pour extraire les credentials Windows en mémoire. Comprendre ses traces forensiques permet d'identifier rapidement si un attaquant a collecté des credentials lors d'un incident. Mimikatz génère des artefacts forensiques caractéristiques dans plusieurs sources. Dans les Event Logs Windows : EventID 4656 (Handle to an Object Requested) avec TargetObjectType=Process et ProcessName=lsass.exe demandé par un processus non-attendu ; EventID 4688 (Process Creation) avec CommandLine contenant mimikatz, sekurlsa, lsadump, kerberos, dpapi. Sysmon EventID 10 (ProcessAccess) de mimikatz vers lsass.exe avec les access masks d'accès mémoire (0x1fffff, 0x143a). Les techniques d'évasion de Mimikatz (renommage de l'exécutable, obfuscation du code source, chargement depuis la mémoire via Invoke-Mimikatz PowerShell) compliquent la détection par nom de processus. Les détections comportementales sont plus robustes : tout processus accédant à la mémoire lsass.exe avec des flags d'accès insuffisamment explicables (VM_READ + QUERY_INFORMATION depuis un processus inattendu) est suspect indépendamment de son nom. Les artefacts disque de Mimikatz incluent les fichiers de sortie que l'attaquant peut créer (log /append mimikatz_output.txt dans Mimikatz, fichiers .txt ou .log dans les répertoires temporaires), les binaires mimikatz.exe eux-mêmes dans des répertoires temporaires ou de téléchargement, et les modules de Mimikatz chargés comme DLLs. Pour la forensique mémoire, Volatility malfind peut identifier Mimikatz ou ses modules injectés dans des processus légitimes. Les scans YARA avec les signatures Mimikatz (disponibles dans les bases Elastic, Sigma, VALHALLA) permettent de détecter les variants obfusqués.