Windows Artifacts - Programs

Cette leçon se concentrera sur les artefacts qui peuvent être collectés à partir de systèmes exécutant Windows, en particulier sur les artefacts liés à l'utilisation d'applications et de programmes sur le système. Le fait de voir quels fichiers ont été exécutés sur le système peut fournir des preuves précieuses, telles que le nombre de fois qu'un fichier a été exécuté, la date de sa dernière exécution, la date de sa création, les chemins complets des fichiers, etc. Nous allons explorer les artefacts suivants :

• Fichiers LNK
• Fichiers Prefetch
• Fichiers de liste de raccourcis

Après cette leçon, nous avons conçu un exercice pratique dans lequel vous pourrez essayer d'analyser des fichiers pour chacun des artefacts abordés dans cette leçon. Sous chaque rubrique d'artéfact, nous avons fourni un lien de téléchargement pour l'outil que vous devrez analyser dans le cadre de l'exercice.

Fichiers LNK//Analyse des raccourcis

Description de l'artefact

Les fichiers LNK sont utilisés par le système d'exploitation Windows pour lier un fichier à un autre. C'est ainsi que nous pouvons avoir des raccourcis d'applications qui fonctionnent comme un redirecteur. Ainsi, lorsque nous cliquons sur un raccourci, l'application trouve l'application où qu'elle se trouve dans le système de fichiers et exécute l'application correspondante. Nous pouvons collecter des métadonnées précieuses à partir de fichiers LNK, telles que l'emplacement du dossier auquel il est lié, la date à laquelle le fichier LNK a été créé, modifié, le dernier accès, la taille du fichier, etc.

Emplacement de l'artefact

Les fichiers LNK se trouvent à l'adresse suivante : C:\Users \ $USER$ \ AppData \ Roaming \ Microsoft \ Windows \ Recent

Analyse des artefacts

Pour afficher ces fichiers dans un format lisible par l'homme, nous pouvons utiliser Windows File Analyzer .

Fichiers Prefetch

Description de l'artefact

Les fichiers Prefetch peuvent nous fournir des informations extrêmement utiles sur les programmes, notamment le nom de l'application, le chemin d'accès au fichier exécutable, la date de la dernière exécution du programme et la date de création/installation du programme.

Emplacement de l'artefact

Les fichiers Prefetch se trouvent à l'adresse suivante : C:\Windows\Prefetch

Analyse des artefacts

Pour afficher ces fichiers dans un format lisible par l'utilisateur, nous pouvons utiliser la ligne de commande Prefetch Explorer, également appelée .exe. PECmd

Liste de raccourcis

Description de l'artefact

À l'aide de la fonction de liste de raccourcis de Windows, nous sommes en mesure de trouver deux types de fichiers différents : AutomaticDestination-ms et CustomDestination-ms. Ces fichiers contiennent des informations sur les applications qui sont épinglées à la barre des tâches, telles que le chemin du fichier, les horodatages et les identificateurs d'applications (AppID).

Emplacement de l'artefact

Les fichiers de la liste de raccourcis se trouvent à l'adresse suivante : C:\Users \ % USERNAME% \ AppData \ Roaming \ Microsoft \ Windows \ Recent \ AutomaticDestinations C:\Users \ %USERNAME% \ AppData \ Roaming \ Microsoft \ Windows \ Recent \ CustomDestinations

Analyse des artefacts

Pour analyser ces fichiers, nous pouvons utiliser des outils tels que JumpList Explorer.