$UsnJrnl Forensics

Définition

L'analyse du $UsnJrnl (Update Sequence Number Journal), fichier système spécial stocké dans le flux alternatif $Extend\$UsnJrnl:$J des volumes NTFS, consiste à examiner ce journal de modifications enregistrant de manière chronologique et détaillée chaque opération significative effectuée sur les fichiers et répertoires d'un volume — création, suppression, renommage, extension, troncature, modification des attributs de sécurité — fonctionnalité initialement conçue pour accélérer certains processus système comme l'indexation de recherche Windows, mais dont la richesse d'information s'avère précieuse pour la reconstruction forensique précise d'activités survenues sur un système. Contrairement à la Master File Table qui offre un instantané des métadonnées actuelles de chaque fichier, le $UsnJrnl fournit une dimension temporelle et séquentielle permettant de reconstituer précisément l'enchaînement chronologique des opérations effectuées, y compris sur des fichiers depuis entièrement supprimés et dont l'enregistrement MFT a lui-même été réutilisé, le journal conservant une trace de l'opération même après disparition complète du fichier concerné du système de fichiers. Cette capacité s'avère particulièrement précieuse pour reconstituer les opérations effectuées par un malware ou un attaquant sur un système compromis : création puis suppression rapide d'un outil d'exploitation, renommage de fichiers pour dissimulation, ou modification massive de fichiers caractéristique d'un chiffrement par ransomware. Des outils spécialisés comme MFTECmd ou des scripts dédiés analysent ce journal, dont la taille est cependant limitée et circulaire.