Informatique légale – Windows

Analyse forensic de Windows WMI – Comprendre les mécanismes de persistance et les activités du système

Windows Management Instrumentation (WMI) est une plateforme de gestion centrale du système d'exploitation. Les administrateurs et de nombreuses applications utilisent WMI pour la gestion du système et l'automatisation. Parallèlement, WMI est souvent utilisé par des pirates pour établir une persistance à long terme ou pour exécuter des commandes de manière furtive.

Demande sans engagement

Dans le cadre d'une enquête informatique légale professionnelle, les traces WMI ne sont jamais évaluées isolément. Seule la corrélation avec les traces du Registre, les journaux d'événements, les tâches planifiées, les services, les fichiers de prélecture et d'autres traces numériques permet une évaluation technique fiable.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est effectuée exclusivement sur une copie ou une image à des fins d'expertise judiciaire. La pièce à conviction originale reste inchangée et est conservée dans des conditions garantissant la validité de la preuve.

Nos services

Nous analysons les référentiels WMI, les filtres d'événements, les consommateurs d'événements, les liaisons entre filtres et consommateurs, ainsi que d'autres artefacts WMI. Les résultats sont recoupés avec d'autres artefacts Windows et font l'objet d'une documentation exhaustive.

Domaines d'application typiques

•Réponse aux incidents
•Analyses des logiciels malveillants et des ransomwares
•Analyse des mécanismes de persistance
•Reconstitution des activités administratives
•Enquête sur les manipulations du système
•Expertises judiciaires

Voici comment se déroule l'analyse

Une fois l'image légale créée, tous les éléments WMI pertinents sont examinés. Vient ensuite l'évaluation technique en lien avec d'autres traces numériques du système.

Pourquoi les artefacts WMI sont-ils importants ?

Le WMI peut être utilisé aussi bien à des fins légitimes d'administration du système qu'à des fins malveillantes pour mettre en place des mécanismes de persistance. Seule l'analyse globale de tous les éléments pertinents permet une évaluation appropriée et juridiquement valable.

Foire aux questions

Qu'est-ce que Windows WMI ?+
WMI est une plateforme de gestion permettant d'administrer et d'automatiser les systèmes Windows.
Le WMI peut-il être exploité par des logiciels malveillants ?+
Oui. Le WMI est utilisé par divers programmes malveillants et pirates informatiques comme mécanisme de persistance ou d'exécution.
Le système d'origine fait-il l'objet d'une analyse ?+
Non. Seule une copie ou une image à des fins d'expertise judiciaire est analysée.
Les artefacts WMI suffisent-ils à eux seuls pour établir une expertise ?+
Non. Ils sont toujours analysés conjointement avec d'autres éléments de Windows.

LanCologne – Analyse judiciaire de Windows à Cologne

Vous avez besoin d'une analyse professionnelle des artefacts WMI de Windows ou d'autres composants Windows ? LanCologne vous aide à réaliser des sauvegardes de preuves numériques recevables devant les tribunaux et à procéder à une évaluation objective de systèmes Windows complexes.

Nous contacter dès maintenant