Volume Shadow Copy Forensics

Définition

Les Volume Shadow Copies (VSS) sont des instantanés (snapshots) du système de fichiers Windows créés automatiquement lors d'événements système (mises à jour Windows, points de restauration) ou manuellement par des applications de sauvegarde. En forensique, elles sont une source précieuse pour récupérer des versions antérieures de fichiers et reconstruire l'état passé d'un système, mais elles sont aussi une cible d'attaque pour les ransomwares qui cherchent à les supprimer. Techniquement, le VSS est géré par le service Volume Shadow Copy (vss) et le provider vssapi. Les snapshots sont stockés dans des fichiers cachés dans un dossier System Volume Information à la racine de chaque volume. Ils ne sont pas directement accessibles via l'Explorateur Windows mais peuvent être montés via des outils spécialisés ou des commandes vssadmin. En forensique numérique, les VSS permettent de récupérer des fichiers supprimés ou modifiés même sans outils de file carving, à condition que le snapshot ait été créé avant la suppression. Sur un système victime de ransomware, si les VSS n'ont pas été supprimées, elles peuvent contenir des versions non chiffrées des fichiers. C'est pourquoi la quasi-totalité des ransomwares modernes exécutent en priorité vssadmin delete shadows /all /quiet ou des équivalents PowerShell. La détection de la suppression des VSS dans les journaux d'événements (Event ID 8194, 8195, 7035 dans les logs VSS/VSSWriter) et dans les logs Sysmon (création de processus vssadmin.exe avec arguments de suppression) est un indicateur fort de ransomware ou de tentative de destruction de preuves. Pour monter et analyser les VSS, plusieurs approches existent. Sur un système live : vssadmin list shadows, mklink /D C:\VSS1 \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\. Depuis une image forensique : Arsenal Image Mounter expose les VSS comme des disques séparés, permettant leur analyse individuelle dans Autopsy ou FTK. L'outil vshadow.exe (SDK Windows) et ShadowExplorer offrent des interfaces graphiques.