Le domaine de l’inforensique est en perpétuelle évolution. Les systèmes d’exploitation changent, sont mis à jour, sont modifiés. Il en va de même pour les logiciels et le comportement des usagers. Cet ensemble en constante mouvance génère une charge de travail importante pour l’investigateur numérique, qui doit perpétuellement se maintenir à jour de ses connaissances.Parmi ces dernières, l’une des plus importantes est celle des différentes ruches de la base de registre des systèmes d’exploitation Windows. Elle constitue l’un des viviers les plus intéressants pour l’analyste, mais probablement le plus dense et le plus complexe.À l’intérieur de cette base se trouvent des milliers d’entrées, certaines plus obscures que d’autres. Parmi ces dernières, il en existe un certain nombre permettant de savoir si un binaire a été exécuté ou non. L’AppCompatCache en est un, qui n’est pas forcément très connu car peu documenté.
1. Indicateurs d’exécution
De nombreux indicateurs permettent de déterminer si un binaire a été exécuté ou non sur un système Windows.
Ces entrées sont connues de la plupart des investigateurs numériques, mais connaître ne signifie pas forcément utiliser et exploiter judicieusement.
Voici un bref rappel des principales entrées indicatrices d’exécution de binaires :
- Fichiers Prefetch
Il s’agit de fichiers localisés dans un répertoire Prefetch du répertoire d’installation de Windows. Ces fichiers fournissent des informations sur les derniers fichiers exécutés sur le système ainsi qu’un horodatage de la dernière exécution. Il faut cependant rappeler ici que l’activation de ces fichiers n’est pas mise en place par défaut sur les serveurs Windows et que les prefetchs sont désactivés par défaut par Windows s’il est lancé d’un disque dur SSD (ce qui est discutable, mais là n’est pas le sujet).
- Fichier d’hibernation
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première