SMB Analysis Forensics

Définition

L'analyse forensique du protocole SMB (Server Message Block) est essentielle dans les investigations d'incidents Windows, car SMB est le protocole de partage de fichiers natif Windows qui est aussi massivement exploité pour les mouvements latéraux, les attaques de ransomwares (propagation via les partages réseau), et les techniques comme Pass-the-Hash et EternalBlue. SMB utilise les ports TCP 445 (directement) et 139 (via NetBIOS). L'analyse des captures PCAP contenant du trafic SMB révèle les authentifications (NTLM ou Kerberos), les fichiers accédés ou copiés, les partages ouverts, et les transactions de commandes (Create File, Write File, Delete File). Wireshark dissèque automatiquement le protocole SMB2 (version moderne) et SMB1 (version ancienne, désactivée depuis Windows 10 2004 mais encore présente dans les anciens systèmes). Les indicateurs forensiques de SMB malveillant dans un PCAP incluent : des authentifications NTLM depuis des machines non-administratives vers d'autres postes (signe de Pass-the-Hash), des accès à des partages administratifs (ADMIN$, C$, IPC$) depuis des postes non-autorisés, des écritures de fichiers exécutables (.exe, .dll) sur des partages distants suivies d'exécutions à distance (via SCManager ou WMI), et un volume d'accès SMB anormalement élevé (signe de propagation de ransomware ou de worm). La corrélation entre les logs SMB réseau et les Windows Event Logs est indispensable : les Event IDs 5140 (partage réseau accédé) et 5145 (fichier ou répertoire accédé) sur le serveur SMB cible confirment les accès identifiés dans le PCAP. Ces Event IDs sont activés par la politique d'audit 'Audit Detailed File Share' et 'Audit File System'. Les attaques EternalBlue (MS17-010, exploitée par WannaCry et NotPetya) sont identifiables dans les PCAP par des patterns SMB caractéristiques : connexions sur le port 445 avec des transactions Trans2 malformées générant des exceptions SMB spécifiques. Les règles Snort/Suricata 'ET EXPLOIT MS17-010' détectent automatiquement ces patterns dans les archives PCAP.