Enquête forensic : comment nous avons retracé l'exfiltration silencieuse de données

Mission n°1 de notre rétrospective de l'été

Le point de départ

Un chef d'entreprise nous confie son iMac après avoir constaté plusieurs indices laissant penser qu'un ou plusieurs accès non autorisés ont eu lieu sur sa machine. Les éléments recueillis lui permettent de soupçonner que plusieurs personnes ont utilisé son ordinateur à son insu. L'objectif de l'analyse est désormais de déterminer qui a accédé au poste, à quelles dates et combien de fois.

Notre méthodologie forensic

Pour préserver l'intégrité des données pendant l'analyse, nous suivons toujours un protocole strict :

1. Vérification de la machine : contrôle du fonctionnement général et de l'accès à la session.

2. Clonage du disque dur : une copie forensic (bit à bit) est réalisée (via Clonezilla) pour travailler exclusivement sur une image, sans jamais altérer le disque original.

3. Récupération des données effacées : un passage avec un outil spécialisé permet de comparer les fichiers présents avec d'éventuelles traces supprimées.

4. Extraction et analyse des journaux systèmes : un travail long et minutieux car chaque machine génère une multitude de journaux (installations, connexions, tâches planifiées, historique de commandes...), qu'il faut passer au crible un par un pour reconstituer une chronologie fiable.

Cette rigueur méthodologique n'est pas un simple formalisme : c'est elle qui garantit que les éléments recueillis puissent être présentés et défendus dans un cadre juridique, si le client décide d'aller plus loin. Chaque étape est documentée, horodatée, et reproductible, un principe fondamental de toute analyse forensic sérieuse.

Ce que les traces racontent

L'examen des fichiers système cachés et de l'historique des commandes du Terminal a permis aux techniciens de Kermeur de reconstituer les différentes opérations effectuées sur la machine. Les commandes identifiées témoignent d'une intervention méthodique et révèlent un niveau de maîtrise technique élevé de leur auteur.

• L'exécution d'un logiciel de prise en main à distance, sans aucune trace dans le journal officiel des installations mais dont l'activité a pu être reconstituée grâce à d'autres journaux systèmes. Ce point est notable : quelqu'un a dû, à un moment donné, installer physiquement ou à distance cet outil sur la machine, ce qui laisse penser que l'attaquant n'a pas agi seul et disposait d'au moins un complice pour cette étape.

• Trois connexions externes identifiées à des dates et horaires précis, retrouvées via les journaux de l'application de contrôle à distance.

• Un script de synchronisation tapé manuellement en ligne de commande, programmé pour copier plusieurs dossiers sensibles (bureau, documents, données de navigateur) vers un espace de stockage cloud externe et chargé, dans la foulée, d'effacer une partie des journaux système, y compris via une purge directe dans la base de données des événements du système.

• Le raccordement d'un disque dur externe, quelques semaines plus tard, à l'aide d'un logiciel de synchronisation de données (et non d'un simple logiciel de clonage miroir). Le modèle utilisé est un disque SSD haut de gamme, réputé pour sa vitesse, un matériel connu des spécialistes mais rarement vendu en grande surface.

Un dossier au nom évocateur, /Desktop/Forensic/exported_pass, avait été créé sur le bureau juste avant l'opération d'exfiltration, puis supprimé de façon non sécurisée, ce qui a rendu sa récupération possible.

Ce que contenait le dossier récupéré

C'est souvent la seule erreur qui fait basculer une enquête. Ici, l'attaquant a pris soin d'effacer méthodiquement ses traces dans les journaux système, mais a négligé un point essentiel : une suppression classique n'efface pas réellement un fichier, elle se contente de libérer l'espace qu'il occupait sur le disque. Tant que cet espace n'a pas été réécrit par de nouvelles données, le contenu reste techniquement récupérable.

Grâce à notre outil de récupération de données, nos techniciens ont pu reconstituer une partie du contenu de ce dossier. Les éléments retrouvés confirment ce que les journaux laissaient déjà supposer : le dossier contenait le résultat d'une opération d'extraction de mots de passe menée directement sur la machine, probablement à l'aide d'un logiciel de forensic. Cette découverte apporte une preuve matérielle supplémentaire, là où nous ne disposions jusque-là que d'indices indirects issus des journaux système.

L'élément qui a permis de reconstituer le mode opératoire

Un fichier de configuration oublié sur la machine contenait les paramètres de connexion à l'espace de stockage cloud utilisé pour l'exfiltration. Une tentative de connexion avec ces éléments a confirmé que l'accès avait depuis été révoqué, le serveur n'était donc plus accessible. Mais cette découverte, combinée à l'ensemble des traces reconstituées, a permis d'établir avec un haut niveau de confiance le déroulé complet de l'opération : quoi, quand, et par quel moyen.

Que dit la loi ?

Ce type d'exfiltration de données relève d'une véritable fraude informatique, encadrée par plusieurs articles du Code pénal. L'article 323-1 réprime le fait d'accéder ou de se maintenir frauduleusement dans un système de traitement automatisé de données, jusqu'à 3 ans d'emprisonnement et 100 000 € d'amende. L'article 323-3 va plus loin et vise spécifiquement le fait d'extraire, de détenir, de reproduire ou de transmettre frauduleusement des données présentes dans un tel système, jusqu'à 5 ans d'emprisonnement et 150 000 € d'amende. Ces peines peuvent être alourdies lorsque les faits sont commis en bande organisée, une hypothèse qu'un dossier impliquant plusieurs intervenants ne permet pas d'exclure.

Ce que ce dossier illustre

Cette mission est un bon rappel de deux choses. D'abord, que les tentatives de dissimulation les plus abouties laissent presque toujours des empreintes résiduelles, un log oublié, un fichier de configuration, une entrée dans un historique de commandes, ou même un dossier que l'on croit avoir effacé pour de bon. Ensuite, que l'analyse forensic ne se limite pas à retrouver des fichiers effacés : elle consiste à recouper des dizaines de sources techniques pour reconstruire une chronologie fiable et exploitable, y compris dans un cadre judiciaire.

Ce dossier illustre aussi une réalité que l'on rencontre souvent sur le terrain : la personne la mieux préparée techniquement finit presque toujours par commettre une erreur, aussi minime soit-elle. Notre travail consiste précisément à la repérer, à la documenter et à en tirer une preuve solide.

Vous suspectez une intrusion, une fuite de données ou souhaitez faire analyser un poste de travail ?

N’hésitez pas à nous contacter pour toute demande complémentaire ou pour l’établissement d’un devis.

Pour aller plus loin : découvrez notre page cybersécurité, notre offre de sûreté électronique et nos services d'intelligence économique.