Microsoft bouleverse la criminalistique numérique avec Windows 11. Cette évolution modifie en profondeur la collecte et l’analyse des indices numériques lors des investigations.
Les nouveaux artefacts, la généralisation de Recall et les révisions sur le stockage des traces obligent les experts comme Kaspersky, Symantec ou Magnet Forensics à revoir leurs pratiques.
Microsoft Windows 11 : des artefacts transformés pour la criminalistique numérique
La répartition des systèmes montre encore peu d’adoption de Windows 11 dans les entreprises, mais la fin du support de Windows 10 en octobre 2025 va accélérer la migration. L’arrivée massive de cette version implique des adaptations pour les outils de Belkasoft, FTK (AccessData), Cellebrite et Oxygen Forensics.
- Notepad enregistre désormais l’état des onglets non sauvegardés, facilitant la récupération de scripts malveillants.
- File Explorer et Command Prompt bénéficient d’un mode multi-onglets, chaque session laissant de nouvelles traces exploitables.
- La suppression de NTLMv1 réduit le spectre des attaques “pass-the-hash”.
Recall : innovation ou point faible dans la protection des données ?
La fonctionnalité Recall, déployée depuis mi-2025 sur les PC Copilot+ ARM avec NPU, représente à la fois une avancée et une zone de risque. Elle capture des captures d’écran à intervalles réguliers, archivant ainsi presque toutes les interactions.
- Les images stockées dans %AppData%LocalCoreAIPlatform.00UKP{GUID}ImageStore sont renseignées par des métadonnées (horodatage, titre, chemin d’exécution) cruciales lors d’incidents.
- Recall indice la partie visuelle et textuelle grâce à l’OCR et la classification sémantique, dans ukg.db, base chiffrée et structurée.
- Un filtre tente de masquer les données sensibles (paiements, champs privés), mais son efficacité est controversée.
En cas d’activation involontaire (attaque, malware ou via GPO), l’exploitation de Recall par les outils d’investigation, tel EnCase ou Elcomsoft, devient incontournable.
Traces et preuves numériques : NTFS, ReFS et évolution des artefacts sous Windows 11
Les modifications des attributs NTFS ($STANDARD_INFORMATION, $FILE_NAME) changent le comportement des horodatages lors de copies, déplacements ou renommages, bouleversant les méthodes d’analyse traditionnelles.
- Les métadonnées sont désormais héritées différemment, ce qui peut masquer ou révéler la manipulation d’un fichier par un attaquant.
- Le PCA (Program Compatibility Assistant) enregistre tous les lancements d’exécutables, avec un suivi des anomalies et événements.
- ReFS, dorénavant supporté pour l’installation native de Windows 11, élimine certains artefacts (pas de $MFT, pas de hard-links), rendant l’enquête plus complexe.
Windows Search et nouvelles bases SQLite : enquête facilitée ou complexifiée ?
Windows Search utilise désormais trois bases SQLite. Les fichiers Windows-gather.db et Windows.db centralisent les informations de présence et de métadonnées, rendant l’analyse beaucoup plus rapide, mais aussi plus structurée.
- SystemIndex_Gthr recense les fichiers indexés, leur chemin, et la date de dernière modification.
- Les identifiants permettent de reconstituer le chemin complet et l’arbre des fichiers, révélant d’éventuels ajouts ou suppressions lors d’une attaque.
- Les experts Magnet Forensics et Kaspersky recommandent l’intégration immédiate de ces fichiers à l’acquisition initiale lors d’un incident.
La granularité de ces artefacts offre aux outils comme FTK et Belkasoft de nouveaux leviers pour remonter le fil des compromissions.
Perspectives : nouvelles exigences pour les outils criminalistiques
Symantec, Cellebrite ou Magnet Forensics doivent adapter leurs modules pour parser efficacement les nouveaux artefacts et bases chiffrées. Leur capacité à intégrer rapidement ces changements conditionnera la qualité des expertises en 2025.
- Automatisation des extractions via notepad_parser ou analyse des PCA log files.
- Adaptation de la triage collection pour détecter Recall ou exploiter les traces Windows Search.
- Formation renforcée des analystes sur les nouvelles structures NTFS/ReFS et le mode de fonctionnement natif ARM/NPU de certaines fonctionnalités.
Les nouvelles approches imposées par Windows 11 appellent à une veille constante. L’évolution rapide du système accentue l’enjeu de la cybercriminalistique en 2025, plaçant la rigueur technique au cœur de la réussite des investigations.