Chaque outil, en détail.

Analyse 22 familles de démarrage automatique Windows : clés Run du registre, services et pilotes, ServiceDll, tâches planifiées, Winlogon, AppInit, IFEO/SilentProcessExit, abonnements WMI, dossiers de démarrage, paquets LSA, moniteurs d’impression, fournisseurs d’identifiants, objets BHO, détournements COM et économiseurs d’écran. Chaque image est vérifiée par Authenticode, avec enrichissement VirusTotal optionnel. Il lit aussi la ligne de commande, pas seulement le fichier : un interpréteur Windows signé — rundll32, mshta, regsvr32, powershell — pointé vers un emplacement distant, un chemin utilisateur, un script encodé ou un scriptlet est signalé même si l’exécutable se vérifie parfaitement, et les tâches planifiées exposent leurs arguments, donc la DLL ou le script réellement chargé devient visible.

ACTION → Inspecter les détails, révéler l’emplacement validé du fichier, ou ouvrir les applications de démarrage de Windows.

LIMITES → Un résultat notable est un signal à investiguer, pas une preuve de logiciel malveillant. Le contrôle de ligne de commande lit ce qui est écrit. Une charge assemblée à l’exécution, ou qui n’est ni distante, ni utilisateur, ni encodée, lui échappe.

Blocage/autorisation par application appliqué via la plateforme de filtrage Windows (WFP) par un service LocalSystem facultatif. Démarre en audit seul ; un opérateur élevé arme l’application via le flux IPC authentifié du tableau de bord. L’intention souhaitée et l’état effectif d’exécution sont toujours rapportés séparément.

ACTION → Définir les règles et activer l’application uniquement depuis le tableau de bord : les alias de mutation directe sont désactivés par conception.

LIMITES → Le service n’est pas installé par le programme d’installation : l’installer est une décision explicite et élevée. Pas d’invite interactive par connexion ; la règle est définie par application.

Une alerte en direct dans la zone de notification dès qu’un nouvel élément de démarrage apparaît, plus le rapprochement de tout ce qui a changé pendant que WinSight ne tournait pas.

ACTION → Examiner le nouvel élément, son verdict de signature, et qui l’a écrit.

LIMITES → Observe et alerte ; un blocage en temps réel exigerait un pilote noyau signé, qui n’est pas fourni.

Des fichiers leurres cachés, plus des heuristiques de rafale de renommage/suppression et d’entropie à l’écriture. C’est la seule fonctionnalité qui écrit quoi que ce soit (ses leurres), et c’est pourquoi elle reste désactivée jusqu’à ce que vous l’activiez, et qu’elle les supprime quand vous la désactivez. La vérification d’intégrité rapporte aussi si le bloqueur noyau de Windows, l’accès contrôlé aux dossiers de Microsoft Defender, est réellement activé.

ACTION → Investiguer le processus signalé ; l’attribution d’écriture le nomme lorsqu’on est élevé. Si l’accès contrôlé aux dossiers est désactivé, WinSight renvoie vers la page Sécurité Windows où vous l’activez.

LIMITES → Détection, pas interception. Il alerte sur une activité suspecte mais ne bloque pas les écritures ; bloquer une écriture en pleine attaque exige un minifiltre noyau signé que WinSight ne fournit pas. Il lit et rapporte la posture de l’accès contrôlé aux dossiers, mais ne l’active, ne le désactive et ne le configure jamais. C’est l’opérateur qui le change dans Windows.

Usage actuel et historique de l’accès aux fonctionnalités (Capability Access) pour la webcam et le micro, plus les transitions en direct en ligne de commande avec av --watch.

ACTION → Identifier l’application et ouvrir les paramètres de confidentialité de Windows.

LIMITES → Lit les enregistrements d’accès aux fonctionnalités tenus par Windows ; un logiciel qui contourne cette comptabilité sort du périmètre.

Connexions TCP et UDP en IPv4/IPv6 avec le processus propriétaire, son image et sa signature ; enregistrements DNS du cache du résolveur et requêtes ETW en direct réservées aux administrateurs. Les connexions externes établies par des propriétaires non signés sont notables.

ACTION → Inspecter l’exécutable, corréler les domaines avec l’activité, ou ouvrir le Moniteur de ressources.

LIMITES → Les données du cache DNS sont un historique et n’attribuent pas à elles seules chaque requête à un processus ; l’ETW DNS en direct exige une élévation. Aucune inspection de paquets et aucun graphique de volume de trafic.

Verdicts Authenticode avec repli sur les catalogues, utilisés de façon cohérente par tous les autres outils. Un modèle de verdict à six états qui ne fabrique jamais un résultat « non signé » à partir d’une vérification non concluante.

ACTION → Faites confiance aux états de verdict : ce qui a été vérifié est toujours énoncé explicitement.

LIMITES → Une signature valide prouve l’origine, pas la bonne conduite.

Chemins de service non entre guillemets, répertoires de service et entrées PATH inscriptibles, et imports DLL fantômes, chacun gradué selon qu’il est réellement exploitable sur cette machine.

ACTION → Corrigez d’abord les résultats exploitables ; la gradation vous dit lesquels comptent.

LIMITES → Évalue l’exploitabilité selon les ACL actuelles de la machine analysée ; les résultats diffèrent d’une machine à l’autre.