La MFT (Master File Table) est le registre central du système de fichiers NTFS : chaque fichier et chaque dossier d’un volume y possède une entrée, y compris ceux qui ont été supprimés. Après le journal USN, c’est le second artefact NTFS incontournable en investigation numérique. Dans cet article, nous verrons ce que contient la MFT, comment extraire le fichier $MFT d’une machine Windows en fonctionnement avec KAPE, puis comment l’analyser avec MFTECmd pour retrouver la trace d’un outil malveillant.
Cet article est la onzième partie de notre série consacrée au forensic Windows. Il fait directement suite à la partie précédente dédiée au journal USN.
La MFT, le cœur du système de fichiers NTFS
Dans l’article précédent consacré à l’USN Journal, nous avons vu que NTFS s’appuie sur plusieurs fichiers de métadonnées pour fonctionner. Parmi eux, deux artefacts sont particulièrement utiles en investigation numérique : la MFT ($MFT) et l’USN Journal ($UsnJrnl).
Chaque fichier ou dossier possède une entrée dans la MFT, appelée enregistrement MFT (ou file record), qui contient notamment son nom, sa taille, ses attributs, ses horodatages ainsi que les informations nécessaires à sa gestion par NTFS (emplacement des données sur le disque, descripteur de sécurité, etc.).
En d’autres termes, le journal USN raconte ce qui est arrivé à un fichier, tandis que la MFT décrit ce qu’est ce fichier. Ces deux artefacts sont complémentaires et constituent les principales sources d’information lors d’une analyse forensique d’un volume NTFS.
Structure de la MFT
La MFT est un fichier système nommé $MFT, situé à la racine de chaque volume NTFS. Il s’agit d’un fichier caché et protégé, invisible dans l’Explorateur. Elle se présente sous la forme d’une table composée d’enregistrements de taille fixe. Sous Windows, la taille d’un enregistrement MFT est généralement de 1 024 octets.
Chaque enregistrement commence par la signature FILE et contient plusieurs attributs décrivant le fichier ou le dossier concerné.
Même après la suppression d’un fichier, son enregistrement peut rester présent dans la MFT jusqu’à ce qu’il soit réutilisé par NTFS. Cela permet parfois de retrouver le nom, le chemin et les métadonnées d’un fichier qui n’est plus visible dans le système
Comme dans l’article précédent consacré au journal USN, nous allons utiliser MFTECmd pour analyser l’artefact. Cependant, nous devons d’abord collecter le fichier $MFT. Celui-ci étant protégé et utilisé par le système, une copie classique n’est généralement pas possible depuis un système Windows en fonctionnement. Il est donc nécessaire d’utiliser un outil capable de collecter les fichiers verrouillés.
Plusieurs outils permettent de réaliser cette opération, notamment RawCopy et KAPE. Dans cet article, nous utiliserons KAPE (Kroll Artifact Parser and Extractor), un outil de collecte et de traitement d’artefacts développé par Eric Zimmerman. Vous pourrez le retrouver sur cette page : ericzimmerman.github.io
Téléchargez KAPE, puis extrayez l’intégralité de son contenu dans un dossier.
Lancez ensuite l’interface graphique gkape.exe avec des privilèges administrateur. Ces privilèges sont indispensables : sans eux, KAPE ne peut pas accéder au disque en mode brut pour lire le fichier $MFT.
Une fois l’outil lancé, cochez la case Use Target Options.
Dans le champ correspondant à la source, indiquez la racine du volume à analyser, par exemple : C
Indiquez ensuite le répertoire dans lequel les artefacts collectés devront être enregistrés.
Dans la barre de recherche des Targets, saisissez MFT, puis sélectionnez la cible permettant de collecter le fichier Windows $MFT
Cliquez enfin sur Execute pour démarrer l’extraction.
Une fenêtre de commandes s’ouvre et affiche la progression de la collecte. Une fois l’opération terminée, appuyez sur une touche pour fermer la fenêtre.
Le fichier $MFT est désormais disponible dans le répertoire de destination. KAPE recrée l’arborescence d’origine, le fichier se trouve donc dans un sous-dossier portant le nom du volume, par exemple C:\Collecte\C\$MFT.
Analyse du fichier $MFT avec MFTECmd
Nous allons maintenant convertir le contenu de la MFT en un fichier CSV à l’aide de MFTECmd. Cet outil, également développé par Eric Zimmerman, sait analyser plusieurs fichiers de métadonnées NTFS : $MFT, $J (USN Journal), $Boot, $SDS et $LogFile.
Ouvrez une invite de commandes, placez-vous dans le dossier contenant l’outil, puis exécutez la commande suivante en adaptant les chemins :
MFTECmd.exe -f “C:\Collecte\C\$MFT” –csv “C:\Collecte\Rapport”
Deux options sont utilisées ici :
-f : indique le fichier à analyser (ici, le fichier $MFT collecté par KAPE).
–csv : définit le répertoire dans lequel le rapport CSV doit être généré.
Patientez jusqu’à la fin de l’analyse, puis ouvrez le fichier CSV obtenu à l’aide d’un éditeur CSV.
Le tableau généré contient de nombreuses colonnes intéressantes, notamment :
Le numéro de l’entrée MFT
Le numéro de séquence
Le nom du fichier
Son chemin
Son extension
Sa taille
Son état actif ou supprimé
Ses différents horodatages
Les attributs associés à l’enregistrement.
Dans notre exemple, un filtrage par extension nous a permis de retrouver un fichier associé à SharpHound, le collecteur de BloodHound, un outil utilisé pour cartographier un environnement Active Directory afin d’y identifier des chemins d’attaque.
Les informations importantes ici sont les dates de dernier accès et de modification, qui peuvent fournir des indices utiles pour corréler les différents artefacts.
Conclusion
La MFT est l’un des artefacts les plus riches du système de fichiers NTFS. Elle référence l’ensemble des fichiers et des dossiers du volume et conserve de nombreuses informations sur leur nom, leur taille, leur emplacement, leur état et leurs horodatages.
Son analyse permet également de retrouver les traces de fichiers supprimés, tant que leurs enregistrements n’ont pas été réutilisés par NTFS. Elle peut ainsi révéler la présence passée d’outils, de scripts ou de documents présentant un intérêt pour l’investigation, comme l’exemple de SharpHound l’a montré.
Comme toujours en investigation numérique, les résultats doivent être corrélés avec le journal USN et les autres artefacts présentés dans cette série afin d’obtenir une chronologie cohérente et étayée.
Consultant et formateur expert Windows Server et Cloud Azure. Chercheur en Cybersécurité.