Process Hacker Forensics

Définition

Process Hacker (maintenant System Informer) est un gestionnaire de tâches avancé open source pour Windows qui offre des capacités d'inspection des processus bien au-delà du Gestionnaire de Tâches natif. Pour les analyses forensiques de systèmes actifs, il permet d'examiner les injections de code, les modules chargés anormalement, les handles ouverts, et d'autres indicateurs de compromission visibles en mémoire. Les fonctionnalités forensiques distinctives de Process Hacker incluent : l'affichage des modules (DLLs) chargés par chaque processus avec leur chemin et leur statut de signature numérique (un module non signé dans svchost.exe est immédiatement visible), la visualisation des sections de mémoire de chaque processus avec leurs permissions (les sections RWX - Read/Write/Execute sont indicatrices d'injection), l'inspection des handles ouverts (fichiers, clés de registre, mutex, pipes), et la visualisation des connexions réseau actives par processus. Pour la détection des injections de code, Process Hacker affiche les régions de mémoire marquées exécutables pour chaque processus. Une région 'Private' (non mappée sur un fichier) avec les permissions 'Execute' est le signe classique d'une injection (process injection, reflective DLL injection, shellcode). Ces régions peuvent être directement inspectées (clic droit > Read/Write Memory) ou dumpées pour analyse externe. La fonctionnalité de vérification des signatures de modules permet d'identifier rapidement les DLLs non signées ou dont la signature est invalide chargées dans des processus critiques (lsass.exe, svchost.exe, explorer.exe). Un module malveillant injecté se distingue généralement par l'absence de signature ou une signature invalide. Process Hacker peut terminer des processus protégés (malwares qui se protègent contre la terminaison) en utilisant son driver noyau. Cette fonctionnalité est utile pour le confinement d'urgence sur un système compromis.