Secrets enfouis : comment un journal de télémétrie Windows caché a révélé les tactiques des rançongiciels

Lorsque des cybercriminels compromettent un système, ils comptent sur leurs techniques d’anti-forensique - suppression de fichiers, nettoyage des journaux, dissimulation de malwares - pour effacer leurs traces. Mais lors d’une récente enquête sur un rançongiciel, l’équipe FortiGuard Incident Response (FGIR) a mis au jour un écho numérique auquel les attaquants ne s’attendaient pas : un journal de télémétrie Windows discrètement maintenu, qui a conservé des traces de leur activité, même après un nettoyage minutieux.

Démasquer l’invisible : la découverte

Dans une affaire impliquant une campagne de rançongiciel sophistiquée, les attaquants ont déployé leur arsenal habituel d’outils anti-forensiques, dont la suppression de binaires et l’effacement des journaux de sécurité. Pourtant, les enquêteurs ont découvert que le fichier AutoLogger‑Diagtrack‑Listener.etl, enfoui au fond de %ProgramData%\Microsoft\Diagnosis\ETLLogs\AutoLogger\, contenait encore des vestiges inestimables de l’attaque.

Ce fichier ETL est généré par Event Tracing for Windows (ETW), un sous-système intégré conçu pour surveiller les événements système avec un impact minimal sur les performances. Habituellement exploité par des solutions avancées de détection et réponse sur les terminaux (EDR), ce journal particulier était passé inaperçu aussi bien des défenseurs que des attaquants - jusqu’à présent.

Ce que les attaquants ont manqué

Malgré la suppression des exécutables malveillants - y compris la charge utile du rançongiciel svhost.exe et un outil rootkit déguisé - les activités des attaquants ont été capturées dans le journal ETL. Les données binaires du journal ont révélé les identifiants de processus, SIDs utilisateurs, entrées de ligne de commande et chemins d’exécution, autant d’éléments cruciaux pour reconstituer la chronologie de l’attaque.

Pour vérifier ce phénomène, les chercheurs de FortiGuard ont mené des expériences contrôlées sur Windows Server 2022 et Windows 11, en modifiant les paramètres de télémétrie et en déclenchant manuellement la session de journalisation. Ils ont constaté que, bien que le journal puisse être créé, il restait vide à moins que certaines conditions internes - encore inconnues - du service DiagTrack ne soient réunies.

Conséquences pour les défenseurs

Cette découverte met en lumière une ressource forensique négligée - susceptible de subsister même après des manipulations poussées. Pour les défenseurs, cela ouvre une nouvelle voie pour retrouver des preuves là où les attaquants pensaient avoir effacé toute trace. Fortinet précise que ses outils de sécurité exploitent déjà la télémétrie Windows, renforçant la détection des menaces cachées et la corrélation d’activités suspectes à l’échelle du réseau.

Glossaire WIKICROOK

Event Tracing for Windows (ETW)

Fonctionnalité Windows qui enregistre les événements système et applicatifs à des fins de diagnostic et de surveillance.

Event Trace Log (ETL)

Fichiers binaires structurés générés par ETW, stockant des enregistrements d’événements détaillés.

Anti-forensique

Techniques utilisées par les attaquants pour masquer ou détruire les preuves de leurs activités.

DiagTrack (Expériences utilisateur connectées et télémétrie)

Service Windows qui collecte et envoie à Microsoft des données de diagnostic et d’utilisation.

Identifiant de processus (PID)

Identifiant unique attribué par le système d’exploitation à chaque processus en cours d’exécution.