Persistance et secrets : validation sûre

Énumération locale autorisée, posture de sécurité, services, persistance, secrets et contrôles de poste.

Zones à vérifier

• services et pilotes ;
• tâches planifiées ;
• clés Run/RunOnce ;
• dossiers Startup ;
• extensions navigateur ;
• applications de télémaintenance ;
• scripts de connexion ;
• gestionnaires de mots de passe et fichiers de configuration.

Recherche de fichiers sensibles

Limite la recherche à des chemins et extensions convenus. Ne copie pas les secrets réels.

Get-ChildItem "$env:USERPROFILE\Documents" -Recurse -ErrorAction SilentlyContinue |
  Where-Object Extension -in '.config','.xml','.ini','.kdbx' |
  Select FullName,Length,LastWriteTime

Preuve factice

Demande au sponsor de déposer un fichier REDTEAM_CANARY.txt dans un répertoire protégé. Prouver sa lecture suffit à valider le risque sans exposer de données personnelles.

Nettoyage

Supprime les comptes, fichiers, tâches et exceptions créés. Ne laisse jamais un mécanisme de persistance réel après un test.

Références officielles

• Microsoft Sysinternals — Security Utilities
• Microsoft — Windows Events to Monitor