Chaque outil, en détail.

Analyse 27 familles de démarrage automatique Windows, dont les clés Run du registre, services et pilotes, ServiceDll, tâches planifiées, Winlogon, AppInit, IFEO/SilentProcessExit, abonnements WMI, dossiers de démarrage, paquets LSA, moniteurs et fournisseurs d’impression, fournisseurs d’identifiants, objets BHO, valeurs Windows Load/Run, détournements COM, économiseurs d’écran et injection de profileur .NET. Chaque image est vérifiée par Authenticode, avec enrichissement VirusTotal optionnel. Il lit aussi la ligne de commande, pas seulement le fichier : un interpréteur Windows signé — rundll32, mshta, regsvr32, powershell — pointé vers un emplacement distant, un chemin utilisateur, un script encodé ou un scriptlet est signalé même si l’exécutable se vérifie parfaitement, et les tâches planifiées exposent leurs arguments, donc la DLL ou le script réellement chargé devient visible.

ACTION → Inspecter les détails, révéler l’emplacement validé du fichier, ou ouvrir les applications de démarrage de Windows.

LIMITES → Un résultat notable est un signal à investiguer, pas une preuve de logiciel malveillant. Le contrôle de ligne de commande lit ce qui est écrit. Une charge assemblée à l’exécution, ou qui n’est ni distante, ni utilisateur, ni encodée, lui échappe. Les v0.12.0 et v0.13.0 ne reconnaissaient pas les véritables interpréteurs Windows : leur nom compilé était lu dans le fichier de langue (.MUI). La v0.14.0 corrige ce défaut.

Blocage/autorisation par application appliqué via la plateforme de filtrage Windows (WFP) par un service LocalSystem facultatif. Démarre en audit seul ; un opérateur élevé arme l’application via le flux IPC authentifié du tableau de bord. L’intention souhaitée et l’état effectif d’exécution sont toujours rapportés séparément.

ACTION → Définir les règles et activer l’application uniquement depuis le tableau de bord : les alias de mutation directe sont désactivés par conception.

LIMITES → Le service n’est pas installé par le programme d’installation : l’installer est une décision explicite et élevée, et il exige WinSight installé pour tous les utilisateurs, car le service refuse de s’exécuter depuis un dossier que l’utilisateur peut modifier, comme l’installation par utilisateur par défaut. Pas d’invite interactive par connexion ; la règle est définie par application.

Une fenêtre de décision dès qu’un nouvel élément de démarrage apparaît : autoriser le fait taire, bloquer le retire dans une quarantaine restaurable, « décider plus tard » le garde à examiner. Ce qui a changé pendant que WinSight ne tournait pas est rapproché au démarrage suivant.

ACTION → Examiner le nouvel élément, son verdict de signature, et qui l’a écrit.

LIMITES → Il agit une fois l’élément apparu ; empêcher l’écriture elle-même exigerait un pilote noyau signé, qui n’est pas fourni. Le blocage couvre les valeurs Run/RunOnce et les fichiers de démarrage de l’utilisateur courant ; les éléments valables pour toute la machine peuvent être autorisés, pas encore bloqués.

Des fichiers leurres visibles, variés selon la machine, plus des heuristiques de rafale de renommage/suppression et d’entropie à l’écriture. C’est la seule fonctionnalité qui écrit quoi que ce soit (ses leurres, dans vos dossiers Documents, Bureau, Images, Téléchargements, Vidéos et Musique), et c’est pourquoi elle reste désactivée jusqu’à ce que vous l’activiez. La désactiver, ou désinstaller WinSight, supprime les leurres dont il peut prouver qu’ils sont les siens et intacts. La vérification d’intégrité rapporte aussi si le bloqueur noyau de Windows, l’accès contrôlé aux dossiers de Microsoft Defender, est réellement activé.

ACTION → Investiguer le processus signalé ; l’attribution d’écriture le nomme lorsqu’on est élevé. Si l’accès contrôlé aux dossiers est désactivé, WinSight renvoie vers la page Sécurité Windows où vous l’activez.

LIMITES → Détection, pas interception. Il alerte sur une activité suspecte mais ne bloque pas les écritures ; bloquer une écriture en pleine attaque exige un minifiltre noyau signé que WinSight ne fournit pas. Il lit et rapporte la posture de l’accès contrôlé aux dossiers, mais ne l’active, ne le désactive et ne le configure jamais. C’est l’opérateur qui le change dans Windows.

Usage actuel et historique de la webcam et du micro, lu dans le magasin de consentement que tient Windows, par application, une application de bureau étant rattachée à son processus en cours quand c’est possible, plus les transitions en direct en ligne de commande avec av --watch.

ACTION → Identifier l’application et ouvrir les paramètres de confidentialité de Windows.

LIMITES → Lit les enregistrements du magasin de consentement tenus par Windows ; un accès qui contourne le courtier de fonctionnalités de Windows, comme une capture DirectShow ancienne ou un pilote, ne laisse aucune trace et n’est pas vu.

Connexions TCP et UDP en IPv4/IPv6 avec le processus propriétaire, son image et sa signature ; enregistrements DNS du cache du résolveur et requêtes ETW en direct réservées aux administrateurs. Les connexions externes établies dont le propriétaire est non signé, non fiable ou fiable seulement grâce à un certificat racine installé par cet utilisateur sont notables.

ACTION → Inspecter l’exécutable, corréler les domaines avec l’activité, ou ouvrir le Moniteur de ressources.

LIMITES → Les données du cache DNS sont un historique et n’attribuent pas à elles seules chaque requête à un processus ; l’ETW DNS en direct exige une élévation. Aucune inspection de paquets et aucun graphique de volume de trafic.

Verdicts Authenticode, de catalogue et de paquet MSIX vérifié, utilisés de façon cohérente par tous les autres outils, avec un modèle de verdict à six états qui ne fabrique jamais un résultat « non signé » à partir d’une vérification non concluante. N’importe quel fichier se vérifie à la demande : « Vérifier la signature avec WinSight », dans l’Explorateur de fichiers, ouvre une fenêtre avec le verdict, le signataire, les réserves de confiance et les empreintes MD5/SHA-1/SHA-256, et winsight sign <chemin> donne la même chose en ligne de commande.

ACTION → Faites confiance aux états de verdict : ce qui a été vérifié est toujours énoncé explicitement.

LIMITES → Une signature valide prouve l’origine, pas la bonne conduite. La révocation est vérifiée dans le cache local uniquement, car la recherche VirusTotal facultative est la seule connexion sortante de WinSight : un certificat dont Windows n’a jamais récupéré l’état de révocation est rapporté comme fiable, avec un état de révocation indéterminé.

Chemins de service non entre guillemets, répertoires de service et entrées PATH inscriptibles, et imports DLL fantômes, chacun gradué selon qu’il est réellement exploitable sur cette machine. Il n’écrit rien : la vérification d’accès de Windows lui-même dit si l’utilisateur non élevé pourrait y créer un fichier.

ACTION → Corrigez d’abord les résultats exploitables ; la gradation vous dit lesquels comptent.

LIMITES → Évalue l’exploitabilité selon les ACL actuelles de la machine analysée ; les résultats diffèrent d’une machine à l’autre. Exécuté en tant que SYSTEM ou avec l’UAC désactivé, où aucun jeton non élevé n’existe, il lit à la place les ACL des groupes non privilégiés connus, sans voir un droit accordé à un seul utilisateur, et le rapport le dit.