Les processus Windows et leur arborescence normale

Sur un poste Windows qui vient de démarrer, une centaine de processus tournent déjà. Presque tous sont légitimes, et ils suivent une organisation très précise. Connaître cette organisation, c’est savoir repérer immédiatement celui qui n’a rien à faire là.

Processus, PID et PPID

Un processus, c’est un programme en cours d’exécution, avec sa propre mémoire, ses propres droits et un ou plusieurs threads qui exécutent le code.

Chaque processus a :

• un PID (Process ID), son numéro unique tant qu’il tourne ;
• un PPID (Parent PID), le numéro du processus qui l’a lancé ;
• un utilisateur sous lequel il s’exécute (SYSTEM, un service, ou l’utilisateur connecté) ;
• une ligne de commande et un chemin vers son exécutable.

La relation parent → enfant forme une arborescence. C’est elle qu’on regarde en premier quand on cherche quelque chose d’anormal, parce qu’un attaquant peut copier un nom, mais il a beaucoup plus de mal à imiter le bon parent.

Le démarrage, étape par étape

La chaîne normale, telle que la décrit Windows Internals et que la résume le poster « Hunt Evil » du SANS :

System (PID 4)
└── smss.exe                      Session Manager, la première vraie étape
    ├── [session 0]
    │   ├── csrss.exe
    │   └── wininit.exe
    │       ├── services.exe       Gestionnaire des services
    │       │   ├── svchost.exe -k …   (beaucoup)
    │       │   ├── spoolsv.exe, MsMpEng.exe, …
    │       └── lsass.exe          Authentification
    └── [session 1, 2, …]  une par utilisateur connecté
        ├── csrss.exe
        └── winlogon.exe
            ├── LogonUI.exe        L'écran de connexion
            └── userinit.exe → explorer.exe   (userinit se termine)

Quelques points qui surprennent la première fois :

• smss.exe se duplique pour chaque session, puis la copie se termine. C’est pour ça que csrss.exe, wininit.exe et winlogon.exe apparaissent sans parent visible : leur parent n’existe plus.
• explorer.exe apparaît lui aussi sans parent, parce que userinit.exe se termine juste après l’avoir lancé.
• La session 0 est réservée aux services. Les utilisateurs sont dans les sessions 1 et suivantes.

Les processus à connaître par cœur

Processus	Parent normal	Instances	Chemin	À retenir
System	aucun (PID 4)	1	(noyau)	Le noyau et ses threads
smss.exe	System	1 durable	System32	Gestionnaire de sessions
csrss.exe	smss.exe (terminé)	1 par session	System32	Sous-système Win32
wininit.exe	smss.exe (terminé)	1	System32	Lance services et lsass
winlogon.exe	smss.exe (terminé)	1 par session interactive	System32	Gère l’ouverture de session
services.exe	wininit.exe	1	System32	Lance et gère les services
svchost.exe	services.exe	Beaucoup	System32	Toujours un argument -k
lsass.exe	wininit.exe	1 seule	System32	Authentification, cible n°1 du vol d’identifiants
explorer.exe	userinit.exe (terminé)	1 par utilisateur	C:\Windows	Le bureau et l’explorateur

Repérer l’intrus

Un attaquant qui lance un programme sur une machine essaie souvent de le faire passer pour un processus système. Les vérifications à faire, dans l’ordre :

1. Le nom exact. svch0st.exe (un zéro), scvhost.exe, lsasss.exe, explore.exe. Une lettre suffit.
2. Le chemin. Un svchost.exe dans C:\Users\Public\ ou C:\ProgramData\ n’est pas le vrai.
3. Le parent. Un svchost.exe lancé par explorer.exe au lieu de services.exe.
4. Le nombre d’instances. Deux lsass.exe, deux wininit.exe.
5. L’utilisateur. Un lsass.exe qui ne tourne pas en SYSTEM.
6. La signature. Les binaires système sont signés par Microsoft.

Les enchaînements suspects

Au-delà des processus système, certaines relations parent → enfant sont typiques d’une attaque. Les plus classiques :

Parent	Enfant	Ce que ça évoque
winword.exe, excel.exe, outlook.exe	powershell.exe, cmd.exe, mshta.exe, wscript.exe	Document piégé (macro)
w3wp.exe (IIS), httpd, tomcat	cmd.exe, powershell.exe, whoami.exe	Web shell sur un serveur
services.exe	cmd.exe avec une commande inhabituelle	Service créé pour exécuter du code (PsExec et ses variantes)
wmiprvse.exe	powershell.exe, cmd.exe	Exécution à distance par WMI
rundll32.exe, regsvr32.exe	sans arguments ou avec une URL	Détournement d’un binaire légitime

Ces binaires légitimes détournés s’appellent des LOLBins (Living Off the Land Binaries) : l’attaquant utilise les outils déjà présents sur la machine pour éviter d’apporter les siens.

Services, registre et DLL en deux mots

Trois notions reviennent dans tous les articles suivants :

• Un service est un programme lancé par services.exe, souvent au démarrage et sans utilisateur connecté. Beaucoup de services partagent un même svchost.exe (tasklist /svc pour voir lesquels).
• Le registre est la base de configuration de Windows. Les grandes ruches : HKLM (la machine : SYSTEM, SOFTWARE, SAM, SECURITY) et HKCU (l’utilisateur courant, stocké dans son NTUSER.DAT).
• Une DLL est une bibliothèque de code chargée par un processus. Si un attaquant arrive à faire charger sa DLL par un programme légitime, son code s’exécute avec l’identité de ce programme.

Le prochain article explique sous quelle identité tournent ces processus : comptes, SID et droits.