{"id":94862,"date":"2020-09-22T19:42:18","date_gmt":"2020-09-22T17:42:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena"},"modified":"2020-09-22T19:42:18","modified_gmt":"2020-09-22T17:42:18","slug":"sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/sysmon-teper-mozhet-zapisyvat-soderzhimoe-bufera-obmena","title":{"rendered":"Sysmon peut d\u00e9sormais enregistrer le contenu du presse-papiers","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Le 17 septembre, la version 12 de Sysmon a \u00e9t\u00e9 annonc\u00e9e sur la page Sysinternals<\/a><\/noindex>. En r\u00e9alit\u00e9, ce jour-l\u00e0, de nouvelles versions de Process Monitor et ProcDump ont \u00e9galement \u00e9t\u00e9 publi\u00e9es. Dans cet article, je vais parler de la principale et controvers\u00e9e nouveaut\u00e9 de la version 12 de Sysmon : le type d'\u00e9v\u00e9nements avec l'ID d'\u00e9v\u00e9nement 24, qui enregistre l'activit\u00e9 li\u00e9e au presse-papiers.<\/p>\n

\"Sysmon
\n
\nLes informations de ce type d'\u00e9v\u00e9nements ouvrent de nouvelles possibilit\u00e9s de contr\u00f4le de l'activit\u00e9 suspecte (ainsi que de nouvelles vuln\u00e9rabilit\u00e9s). Vous pourrez ainsi comprendre qui, d'o\u00f9 et quoi exactement essaie de copier. Sous ce paragraphe, une description de certains champs du nouvel \u00e9v\u00e9nement et quelques cas d'utilisation.
\n<\/a><\/noindex>
\nLe nouvel \u00e9v\u00e9nement contient les champs suivants :<\/p>\n

Image :<\/b> le processus dont les donn\u00e9es ont \u00e9t\u00e9 enregistr\u00e9es dans le presse-papiers.
\nSession :<\/b> la session dans laquelle l'enregistrement a eu lieu dans le presse-papiers. Cela peut \u00eatre system(0)
\n lors de l'utilisation en mode interactif ou \u00e0 distance, etc.
\nClientInfo :<\/b> contient le nom d'utilisateur de la session, et en cas de session \u00e0 distance \u2014 le nom de l'h\u00f4te source et l'adresse IP, si ces informations sont disponibles.
\nHashes :<\/b> d\u00e9termine le nom du fichier dans lequel le texte copi\u00e9 a \u00e9t\u00e9 sauvegard\u00e9 (similaire au fonctionnement des \u00e9v\u00e9nements de type FileDelete).
\nArchived :<\/b> le statut indiquant si le texte du presse-papiers a \u00e9t\u00e9 enregistr\u00e9 dans le r\u00e9pertoire d'archives de Sysmon.<\/p>\n

Les deux derniers champs suscitent des inqui\u00e9tudes. En effet, \u00e0 partir de la version 11, Sysmon peut (avec les bonnes configurations) enregistrer diff\u00e9rentes donn\u00e9es dans son r\u00e9pertoire d'archives. Par exemple, l'ID d'\u00e9v\u00e9nement 23 enregistre les \u00e9v\u00e9nements li\u00e9s \u00e0 la suppression de fichiers et peut \u00e9galement les conserver dans le m\u00eame r\u00e9pertoire d'archives. Un tag CLIP est ajout\u00e9 au nom des fichiers cr\u00e9\u00e9s \u00e0 la suite de l'utilisation du presse-papiers. Ces fichiers contiennent les donn\u00e9es pr\u00e9cises qui ont \u00e9t\u00e9 copi\u00e9es dans le presse-papiers.<\/p>\n

Voici \u00e0 quoi ressemble un fichier sauvegard\u00e9.<\/b>
\n \"Sysmon<\/p>\n

\nL'enregistrement dans un fichier est activ\u00e9 lors de l'installation. Il est possible de d\u00e9finir des listes blanches de processus pour lesquels le texte ne sera pas enregistr\u00e9.<\/p>\n

Voici \u00e0 quoi ressemble l'installation de Sysmon avec la configuration appropri\u00e9e du r\u00e9pertoire d'archives :<\/b>
\n \"Sysmon<\/p>\n

\n\u00c0 ce stade, je pense qu'il vaut la peine de se souvenir des gestionnaires de mots de passe qui utilisent \u00e9galement le presse-papiers. La pr\u00e9sence de Sysmon dans un syst\u00e8me avec un gestionnaire de mots de passe vous permettra (ou \u00e0 un attaquant) de capturer ces mots de passe. Si vous supposez que vous savez quel processus alloue le texte copi\u00e9 (et ce n'est pas toujours le processus du gestionnaire de mots de passe, cela peut \u00eatre un svchost), cette exception peut \u00eatre ajout\u00e9e \u00e0 la liste blanche et ne pas \u00eatre enregistr\u00e9e.<\/p>\n

Vous ne le saviez peut-\u00eatre pas, mais le texte du presse-papiers est captur\u00e9 par le serveur distant lorsque vous y basculez en mode session RDP. Si vous avez quelque chose dans le presse-papiers et que vous alternez entre des sessions RDP, cette information vous accompagnera.<\/p>\n

R\u00e9capitulons les fonctionnalit\u00e9s de Sysmon relatives au presse-papiers.<\/p>\n

Enregistr\u00e9s :<\/p>\n