Labo Forensique : Plongée dans les Artefacts

Le Labo Forensique est le cœur technique du Hermes Codex. C’est ici que nous disséquons les traces laissées par le système d’exploitation, l’activité des utilisateurs et les acteurs de la menace pour construire des chronologies d’investigation irréfutables.

🐧 Forensique Linux et réponse à incident

Plongée dans les artefacts Unix pour tracer les intrusions, la persistance et les mouvements latéraux.

Journaux d'authentification Traque des intrusions SSH et de l'élévation de privilèges sudo.

Journaux de connexion Analyse de wtmp, btmp et lastlog pour les connexions et l'effacement de logs.

Comptes et privilèges Audit de passwd, shadow et group pour détecter les comptes backdoors.

Analyse Sudoers Détection des accès NOPASSWD et LPE via GTFOBins.

Historique Shell Extraction de l'activité post-compromission depuis .bash_history.

Artefacts d'Édition Extraction des données depuis les fichiers .viminfo, .nano_history et .swp.

Artefacts SSH Investigation sur authorized_keys, known_hosts et le vol de clés privées.

Persistance héritée Chasse à la persistance furtive dans init.d, rc.local et profile.d.

Persistance Systemd Analyse des fichiers Unit malveillants, Timers et modifications Drop-in.

Persistance Avancée (Rootkits) Détection de LD_PRELOAD, de modules noyau et de backdoors eBPF.

Système de Fichiers (MAC) Décodage des MAC times, Inodes et détection du timestomping.

Analyse des Paquets Vérification de l'intégrité des binaires système (APT/DPKG, DNF/RPM).

Processus & Mémoire (Live) Chasse aux malwares fileless via /proc et acquisition RAM.

Exfiltration et Staging Détection de l'abus de LOLBAS (curl, wget) et des outils cloud.

🪟 Windows : journaux d’événements et télémétrie

Mécanismes de journalisation de l’OS pour tracer les mouvements de l’attaquant et les changements de configuration.

Événements 4624/4625 (Connexions) Décodage des Logon Types, PtH et Password Spraying.

Événement 4688 (Processus) Reconstruction des arbres de processus et chasse aux LOLBAS.

Événement 4663/5145 (Accès) Chasse aux Ransomwares, Honeytokens et accès SMB via SACL.

Événement 7045/4698 (Persistance) Détection de services malveillants et de tâches planifiées.

Sysmon (System Monitor) Télémétrie détaillée, corrélation ProcessGuid et threat hunting.

Filiation des Processus Concepts comportementaux clés pour détecter les intrusions avancées.

🪟 Windows : artefacts d’exécution

Les artefacts utilisés pour prouver qu’un binaire spécifique s’est exécuté sur un système.

Prefetch (.pf) Preuves de l'exécution de binaires et horodatages.

Amcache & RecentFileCache Identification de l'identité des binaires et des hashs SHA1.

Shimcache (AppCompatCache) Suivi des métadonnées d'exécutables sur le long terme.

SRUM Historique de l'activité réseau et exfiltration de données.

BAM (Background Activity) Lier définitivement l'exécution d'un binaire à un SID utilisateur.

WER (Error Reporting) Découverte de l'exécution historique de malwares et plantages.

🗂️ Windows : système de fichiers et activité utilisateur

Les artefacts qui reconstituent la navigation, l’intention et la préparation des données (staging).

MFT ($MFT) Plongée dans la Master File Table et détection du Timestomping.

Journal USN ($UsnJrnl) Traçage de la création, modification et suppression de fichiers.

Fichiers LNK (Raccourcis) Traçage de l'interaction avec des charges utiles supprimées et mouvement latéral.

UserAssist & MUIcache Suivi de l'exécution des programmes via l'interface graphique.

Shellbags Reconstitution de l'historique de navigation et des dossiers.

Jumplists Analyse des interactions spécifiques aux applications.

Listes MRU Suivi des interactions directes avec les boîtes de dialogue.

Alternate Data Streams (ADS) Traque du Mark of the Web (MoTW) et des charges utiles cachées.

⚔️ Windows : évasion et mouvement latéral

Suivre la façon dont les attaquants abusent des mécanismes natifs pour se déplacer et se cacher en mémoire.

PsExec et Mouvement Latéral Investigation sur l'exécution basée sur les services et l'empreinte réseau.

WMI (Management Inst.) Détection de la persistance fileless via les souscriptions d'événements WMI.

BITS (Transfert) Détection du staging de charges utiles LOLBAS et exfiltration.

Named Pipes (IPC) Analyse des balises C2, de l'encapsulation SMB et de la LPE.

DLL Hijacking & Sideloading Détection du détournement de l'ordre de recherche et des DLL fantômes.

Injection de Processus (Bases) Comprendre la chaîne d'API d'injection classique et la mémoire RWX.

Injection Avancée (Évasion) Chasse au Module Stomping, Memory Mirroring et Thread Hijacking.

🌐 Équipements de périmètre (Ivanti)

Triage forensique pour les équipements de sécurité propriétaires.

Architecture et Versioning Naviguer dans l'architecture à double partition et le versioning de l'OS.

Analyse des Logs Ivanti Parser les formats cryptiques pour chasser l'exploitation web zero-day.

Chasse aux Artefacts et Webshells Chasse aux webshells, analyse des logs ICT et détection de fichiers modifiés.