A–Z
Glossaire
Définitions claires des termes d'analyse forensique PowerShell utilisés dans le blog.
- Transcription PowerShell
- Fonctionnalité qui écrit un enregistrement texte complet d'une session PowerShell, entrées et sorties, dans un fichier PowerShell_transcript.
- PSReadLine
- L'éditeur de ligne de la console PowerShell qui enregistre l'historique interactif des commandes dans ConsoleHost_history.txt, sans horodatage.
- AMSI (Antimalware Scan Interface)
- Interface Windows qui permet à l'antivirus d'analyser les scripts, dont PowerShell, à l'exécution ; les attaquants tentent de la désactiver en mémoire.
- Cradle de téléchargement (download cradle)
- Court extrait PowerShell qui récupère du code depuis une URL distante et l'exécute en mémoire, sans écrire de fichier sur le disque.
- Commande encodée (-EncodedCommand)
- Paramètre PowerShell qui prend une chaîne Base64 de texte en UTF-16LE, utilisé pour passer des scripts résistant aux guillemets — et pour masquer l'intention.
- Contournement de la stratégie d'exécution
- Des options comme -ExecutionPolicy Bypass qui lèvent le garde-fou d'exécution de scripts de PowerShell, marqueur quasi constant des lanceurs malveillants.
- Invoke-Expression (IEX)
- Applet de commande PowerShell qui exécute une chaîne comme du code : la moitié « exécution » de la plupart des cradles et chaînes d'obfuscation.
- Attaque par rétrogradation PowerShell
- Lancer PowerShell version 2 pour échapper à la journalisation des blocs de script et à AMSI, qui n'existent qu'en version 5.
- Journalisation des modules (4103)
- Journalisation de l'exécution du pipeline PowerShell : l'événement 4103 enregistre les commandes et les paramètres liés au fil de leur exécution.
- Journal classique Windows PowerShell
- Le journal historique Windows PowerShell.evtx contenant le cycle de vie du moteur et des fournisseurs (400/403/600) et l'exécution du pipeline (800).
- Événement 4104
- L'événement de journalisation des blocs de script PowerShell : un bloc de code compilé, identifié par ScriptBlockId et numéroté MessageNumber sur MessageTotal.
- Journalisation des blocs de script (Script Block Logging)
- Fonctionnalité de PowerShell 5 qui enregistre le code source de chaque bloc de script compilé par le moteur, après désobfuscation, dans l'événement 4104.