Process Monitor ProcMon

Définition

Process Monitor (ProcMon) est un outil Sysinternals (Microsoft) qui surveille en temps réel l'activité des processus Windows : accès aux fichiers, aux clés de registre, aux sockets réseau, aux threads, et aux images. C'est l'un des outils les plus utilisés pour l'analyse comportementale de malwares et les investigations forensiques sur des systèmes Windows actifs. ProcMon enregistre chaque opération effectuée par chaque processus : CreateFile, ReadFile, WriteFile, DeleteFile (activité fichier), RegOpenKey, RegSetValue, RegDeleteKey (activité registre), TCP Connect, TCP Accept, UDP Send, UDP Receive (activité réseau), Process Start, Process Exit, Load Image (activité processus). Chaque événement inclut le timestamp précis, le nom et PID du processus, l'opération, le chemin ou l'adresse cible, et le résultat (SUCCESS, ACCESS DENIED, etc.). Pour l'analyse de malwares, ProcMon est généralement lancé avant d'exécuter l'échantillon malveillant dans une VM de sandbox. En filtrant par le nom du processus malveillant (filtre 'Process Name is malware.exe'), on isole exactement les opérations effectuées par le malware. Les opérations clés à examiner incluent les WriteFile vers des chemins de persistance (System32, AppData\Roaming, TEMP), les RegSetValue vers les clés Run/Services, les TCP Connect vers des IPs/domaines externes (C2), et les Process Create pour les sous-processus lancés. ProcMon supporte des filtres avancés permettant de réduire considérablement le bruit : exclure les 'SUCCESS' sur des chemins de lecture courants, ne conserver que les opérations 'WRITE', et filtrer par processus parent pour isoler une chaîne d'infection. Les captures PML peuvent être sauvegardées et analysées hors ligne. Noriben est un wrapper Python autour de ProcMon qui automatise le lancement, la capture, et l'analyse des résultats, produisant un rapport textuel structuré des activités malveillantes détectées. Il est particulièrement utile pour les analyses à grande échelle nécessitant l'analyse de nombreux échantillons.