Glossaire
Contournement de la stratégie d'exécution
Des options comme -ExecutionPolicy Bypass qui lèvent le garde-fou d'exécution de scripts de PowerShell, marqueur quasi constant des lanceurs malveillants.
La stratégie d'exécution de PowerShell est un paramètre de sécurité qui détermine si les scripts peuvent s'exécuter et s'ils doivent être signés. Ses valeurs possibles incluent Restricted, AllSigned, RemoteSigned, Unrestricted et Bypass. Microsoft indique clairement qu'elle ne constitue pas une frontière de sécurité : elle sert à empêcher les utilisateurs d'exécuter des scripts par accident, et n'importe quel utilisateur peut la remplacer pour sa propre session. Un contournement de la stratégie d'exécution n'est rien d'autre qu'une commande qui le fait.
Pourquoi c'est important en investigation
Les lanceurs malveillants désactivent couramment la stratégie pour un seul processus avec -ExecutionPolicy Bypass (ou -ep bypass, -ExecutionPolicy Unrestricted) afin qu'un .ps1 déposé s'exécute sans invite. Cette option voyage généralement avec d'autres options de lancement : -NoProfile pour ignorer les scripts de profil, -WindowStyle Hidden pour que l'utilisateur ne voie aucune console, et -EncodedCommand pour masquer la charge utile. Une modification persistante via Set-ExecutionPolicy Bypass ou Unrestricted mérite aussi d'être relevée, car elle affecte tous les scripts ultérieurs.
À lui seul, un contournement est une preuve faible : installeurs, agents d'administration et scripts d'administrateur l'utilisent en permanence. Sa valeur tient à la combinaison. Un contournement, plus une fenêtre masquée, plus une commande encodée ou un cradle de téléchargement, lancés depuis un processus Office ou une tâche planifiée, constituent un signal fort.
Exemple
Un lanceur tel qu'enregistré dans le champ HostApplication d'un événement du journal classique :
powershell.exe -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File C:\Users\Public\update.ps1
Le parseur lève une détection de contournement de la stratégie d'exécution de gravité moyenne pour l'option -ExecutionPolicy Bypass et une détection distincte de fenêtre masquée pour -WindowStyle Hidden, y compris sous leurs formes abrégées comme -ep bypass et -w hidden. Lisez les deux ensemble avec le chemin du script, puis recherchez le contenu de ce script dans les événements 4104.
Termes associés
- Commande encodée, l'option le plus souvent associée à un contournement
- Cradle de téléchargement, charge utile fréquente de ces lanceurs
- Journal classique Windows PowerShell, où les lignes de commande complètes sont enregistrées
- Événement 4104, qui enregistre le script exécuté ensuite
Triez les options de lancement dans vos éléments de preuve avec PowerShell Parser, et lisez le guide des journaux d'événements PowerShell pour savoir où les lignes de commande sont enregistrées.