# **TP 1 Digital Forensic**
*Groupe 6 : CHAUVIN Baptiste & JEUSSET Malo*



Au vu du contexte de l’analyse, on peut supposer que ce prefetch ai un lien avec la « mise à jour » de notre collègue John Doe.


On peut constater que le fichier UPDATE.EXE est dans le répertoire téléchargement de l’utilisateur.  
Questions



L’exécutable se nomme UPDATE.EXE


Le chemin absolu ci-dessus.


Il a été éxécuté 1 fois, le 5 aout 2019.

Firefox semble être lié à cet exécutable, ce qui paraît logique puisque le fichier a surement dû être téléchargé.



1- Selon file, le format du fichier est un PE32 executable sous Windows.


2- Dans le fichier « update.exe.utf-16.le » on peut trouver des chaînes de caractères évoquant la présence d’Apache2.2.14 ce qui n’a rien à faire dans un .EXE.


Via le fichier « update.exe.utf-8 » on peut confirmer l’utilisation d’Apache dans des requêtes comme POST, PUT et des variables utilisées pour se connecter à un server.  



1- On peut donc observer des signatures Yara.
2- Cobalt functions, qui pourrait faire partie de la famille Cobalt Strike.



1- Oui, le binaire est reconnu du service VirusToal.
2- On remarque que le binaire est identifié comme « Trojan » dans « familiy labels ».



1- La première apparition du fichier remonte donc au 5 aout 2019 à 16 :46 :47.


2- L’url complète est donc http://wordpresstips.com/update.exe


3- L’utilisateur était d’abord sur http://www.bsi.org


4- L’information de base de registre est stockée dans : 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{CEBFF5CD-ACE2-4F4F-9178-9926F41749EA}\Count



1- Personnellement, 1 exécution par programme ne nous paraît pas énormément suspecte, tout dépend des besoins habituels et des compétences de John Doe. 
2- On pourrait demander à John Doe s’il se souvient avoir eu recours à ces programmes/Services. 




1- La date correspond mais pas l’heure, ici c’est 2h de plus que celle vu précédemment. On peut déduire que le PC est en UTC+2. 


2- La tâche ci-dessus a donc pour but d’exécuter un script nommé « bw.bat ».


3- La tâche sera « trigger » à 18 h49.




1- Le script va télécharger le fichier info.ps1 sur http://wordpresstips.com
2- On retrouve le site http://wordpresstips.com


3- Bw.bin est un script python.


4-On peut donc apercevoir que bw.bat et bw.bin sont crées à la même heure (16 :49 :50) puis bw.lck a 16 :49 :54.