Étude et veille sur l'outillage de primoanalyse

Contexte et objectifs de la prospective

Au sein du Bureau d'Investigation et de Prospective (BIP), notre rôle était aussi d'évaluer de nouveaux outils pour anticiper les besoins du Groupe d'Intervention Cyber (GIC). Si la collecte par DFIR-ORC est parfaite pour récupérer des données brutes exhaustives, elle demande ensuite un temps d'analyse important en laboratoire. Or, sur le terrain, les opérateurs ont souvent besoin de savoir en quelques dizaines de minutes si une machine est réellement compromise ou s'il s'agit d'une fausse alerte.

Pour préparer les futurs modes opératoires (MODOP) de triage d'urgence, j'ai donc mené une étude comparative sur plusieurs briques reconnues de la communauté DFIR : THOR / THOR Lite, Hayabusa, KAPE et les utilitaires d'Eric Zimmerman.

Recherche d'indicateurs de compromission : THOR, THOR Lite et règles YARA

Développé par Nextron Systems, THOR est un scanner de compromission taillé pour détecter les activités de groupes APT (Advanced Persistent Threat), les malwares et les webshells dissimulés sur les disques ou en mémoire vive.

Son fonctionnement combine plusieurs approches complémentaires :

• Le scan par règles YARA : THOR s'appuie massivement sur des signatures YARA pour identifier des motifs binaires suspects, des portions de shellcodes, des chaînes encodées ou des techniques d'obfuscation.
• L'heuristique et la corrélation d'anomalies : au-delà des signatures fixes, l'outil analyse les métadonnées de fichiers (horodatages anormaux, doubles extensions), les ruches de registre, les tâches planifiées et les connexions réseau en calculant un score de suspicion cumulé.
• THOR vs THOR Lite : la déclinaison THOR Lite est une version allégée reposant sur des règles communautaires libres, très pratique pour tester nos procédures sans licence complexe. La version complète intègre quant à elle des modules d'analyse mémoire avancés et des flux de Threat Intelligence propriétaires.

Pour une intervention rapide, son grand atout réside dans son format binaire autonome : il s'exécute directement depuis une clé USB d'analyse sans nécessiter d'installation ni modifier le système hôte.

Analyse accélérée des journaux d'événements : Hayabusa et règles SIGMA

Éplucher des gigaoctets de journaux Windows (fichiers EVTX) à la main en situation d'urgence est un exercice fastidieux. Hayabusa répond précisément à cette contrainte : écrit en Rust, ce moteur de Threat Hunting est conçu pour traiter des volumes massifs de logs à très grande vitesse.

Ses points forts pour le travail de primoanalyse :

• Le format standard SIGMA : SIGMA est aux fichiers de logs ce que YARA est aux binaires. Hayabusa compile des centaines de règles SIGMA pour repérer automatiquement des comportements anormaux (exécutions PowerShell suspectes, élévations de privilèges, vidage de mémoire LSASS via Mimikatz ou mouvements latéraux).
• Une timeline claire et ordonnée : l'outil consolide les détections dans une chronologie unifiée, triée par niveau de gravité (Critique, Élevé, Moyen, Faible) et directement rattachée aux tactiques de la matrice MITRE ATT&CK.
• Une exécution en quelques secondes : grâce à son moteur compilé en natif et hautement parallélisé, Hayabusa traite des millions d'événements en un clin d'œil sans dépendre d'une infrastructure SIEM distante.

Triage ciblé et extraction d'artefacts : KAPE et la suite Eric Zimmerman's Tools

Sur le terrain, cloner un disque dur complet de 1 To prendrait trop de temps. KAPE (Kroll Artifact Parser and Extractor), conçu par Eric Zimmerman, permet d'aller chercher chirurgicalement les artefacts indispensables en quelques minutes.

Le fonctionnement repose sur deux concepts simples et puissants :

• Les Targets (.tkape) : définissent les cibles à récupérer (table $MFT, Prefetch, ruches de registre, Jump Lists, historiques de navigation). KAPE utilise les clichés instantanés (Volume Shadow Copies) ou un accès NTFS direct pour copier les fichiers verrouillés par le système en cours de fonctionnement.
• Les Modules (.mkape) : exécutent automatiquement des outils d'analyse sur les fichiers extraits pour convertir ces formats binaires bruts en tableaux lisibles (CSV, JSON).

C'est ici qu'interviennent les Eric Zimmerman's Tools (EZ Tools), des utilitaires de référence dans le monde du forensic :

• MFTECmd : décode la table des fichiers NTFS ($MFT), le $LogFile et l'$USN Journal pour reconstituer l'historique précis des créations et modifications de fichiers.
• PECmd : analyse les fichiers Prefetch (.pf) pour apporter la preuve irréfutable qu'un exécutable a bien été lancé sur le poste (date, fréquence et répertoires manipulés).
• JLECmd et LECmd : analysent les Jump Lists et raccourcis LNK pour identifier les derniers documents ouverts et les volumes externes connectés.
• RECmd / Registry Explorer : fouillent les ruches de registre (SYSTEM, SOFTWARE, NTUSER.DAT, Amcache) pour traquer les clés de persistance et l'historique des périphériques USB.
• Timeline Explorer : visualise et filtre instantanément des millions de lignes issues des outils précédents via une interface graphique ultra-rapide.

Synthèse comparative des outils étudiés

Outil	Mécanisme / Format	Périmètre analysé	Intérêt opérationnel en intervention
THOR / THOR Lite	Règles YARA + heuristique	Disque, mémoire vive, registre	Détection rapide de malwares et webshells via un exécutable portable.
Hayabusa	Règles SIGMA (YAML)	Journaux d'événements (.EVTX)	Reconstitution immédiate d'une chronologie d'attaque avec mapping MITRE ATT&CK.
KAPE	Targets (.tkape) / Modules (.mkape)	Artefacts ciblés système et disques	Extraction sélective ultra-rapide et orchestration des outils d'analyse.
Eric Zimmerman Tools	Parseurs spécialisés binaire → CSV	$MFT, Prefetch, Registre, LNK	Transformation instantanée des artefacts bruts en données tabulaires exploitables.

Enseignements pour les futurs MODOPs

Cette veille technique a permis de poser des bases solides pour les prochaines procédures du GIC :

• Des commandes standardisées : fixer des lignes de commande réflexes non intrusives, adaptées aux postes d'analyse durcis.
• Un enchaînement modulaire : combiner extraction KAPE, tri des logs avec Hayabusa et scan de signatures par THOR pour livrer un premier bilan complet en moins de 30 minutes.
• L'intégrité des preuves : veiller à ce qu'aucune analyse à chaud ne vienne écraser ou altérer les métadonnées d'origine.