ID d'événement Windows 4912 – Microsoft-Windows-Kernel-General : Création de lien symbolique du gestionnaire d'objets

Commencez par examiner les détails spécifiques de l'événement pour comprendre quel lien symbolique a été créé et par quel processus.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez pour l'ID d'événement 4912 en cliquant avec le bouton droit sur le journal Système et en sélectionnant Filtrer le journal actuel
4. Entrez 4912 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4912 pour voir des informations détaillées incluant :
   • Nom du lien symbolique et chemin cible
   • ID de processus et contexte de sécurité
   • Corrélation de l'horodatage avec d'autres événements système

Utilisez PowerShell pour analyser plusieurs événements 4912 et identifier des motifs ou des anomalies dans la création de liens symboliques.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4912 :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=4912} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Pour une analyse plus détaillée, extrayez des données d'événements spécifiques :

   $events = Get-WinEvent -FilterHashtable @{LogName='System'; Id=4912} -MaxEvents 100
   $events | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           ProcessId = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessId'} | Select-Object -ExpandProperty '#text'
           SymbolicLinkName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SymbolicLinkName'} | Select-Object -ExpandProperty '#text'
           TargetName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetName'} | Select-Object -ExpandProperty '#text'
       }
   } | Format-Table -AutoSize

4. Exportez les résultats pour une analyse plus approfondie :

   $events | Export-Csv -Path "C:\Temp\Event4912_Analysis.csv" -NoTypeInformation

Recoupez l'ID d'événement 4912 avec les événements de création de processus et de chargement de pilote pour comprendre le contexte complet.

1. Activez la journalisation supplémentaire si elle n'est pas déjà active :

   wevtutil sl Microsoft-Windows-Kernel-General/Analytic /e:true

2. Interrogez les événements corrélés autour de la même période :

   # Obtenez les événements 4912 avec le contexte environnant
   $startTime = (Get-Date).AddHours(-1)
   $endTime = Get-Date
   
   # Interrogez plusieurs sources d'événements
   $kernelEvents = Get-WinEvent -FilterHashtable @{
       LogName='System'
       Id=4912,7034,7035,7036
       StartTime=$startTime
       EndTime=$endTime
   } | Sort-Object TimeCreated

3. Vérifiez les événements de chargement de pilote qui pourraient être corrélés :

   Get-WinEvent -FilterHashtable @{
       LogName='System'
       Id=219  # Événements de chargement de pilote
       StartTime=$startTime
       EndTime=$endTime
   }

4. Examinez les événements de création de processus à partir du journal de sécurité (si la politique d'audit est activée) :

   Get-WinEvent -FilterHashtable @{
       LogName='Security'
       Id=4688  # Création de processus
       StartTime=$startTime
       EndTime=$endTime
   } -ErrorAction SilentlyContinue

Cette corrélation aide à identifier si la création de lien symbolique fait partie des opérations légitimes du système ou d'une activité potentiellement suspecte.

Utilisez des outils avancés pour surveiller l'espace de noms des objets du noyau et comprendre l'impact de la création de liens symboliques.

1. Téléchargez et exécutez WinObj de Microsoft Sysinternals:

   # Téléchargez WinObj (assurez-vous de l'obtenir de la source officielle de Microsoft)
   Invoke-WebRequest -Uri "https://live.sysinternals.com/Winobj.exe" -OutFile "C:\Tools\Winobj.exe"

2. Lancez WinObj pour parcourir l'espace de noms des objets du noyau et localiser les liens symboliques récemment créés
3. Utilisez Process Monitor (ProcMon) pour suivre les modèles d'accès aux objets:

   # Téléchargez ProcMon
   Invoke-WebRequest -Uri "https://live.sysinternals.com/Procmon.exe" -OutFile "C:\Tools\Procmon.exe"

4. Configurez les filtres de ProcMon pour n'afficher que les opérations du gestionnaire d'objets:
   • Réglez l'activité des processus et des threads sur Afficher
   • Ajoutez un filtre : Opération contient CreateFile
   • Ajoutez un filtre : Chemin commence par \??\ ou \Global??\
5. Pour une surveillance programmatique, utilisez WMI pour suivre la création d'objets:

   Register-WmiEvent -Query "SELECT * FROM Win32_SystemTrace WHERE EventType = 'ObjectCreate'" -Action {
       $Event = $Event.SourceEventArgs.NewEvent
       Write-Host "Objet créé : $($Event.ObjectName) à $($Event.TimeCreated)"
   }

Implémentez le suivi des événements pour Windows (ETW) afin de capturer les opérations détaillées du gestionnaire d'objets du noyau, y compris la création de liens symboliques.

1. Créez une session de trace ETW pour les opérations d'objets du noyau :

   # Démarrer la trace ETW pour le gestionnaire d'objets
   logman create trace "ObjectManagerTrace" -p "Microsoft-Windows-Kernel-General" 0xFFFFFFFF 0xFF -o C:\Traces\ObjectManager.etl -ets

2. Configurez des fournisseurs supplémentaires pour un suivi complet :

   # Ajouter le fournisseur de processus du noyau
   logman update trace "ObjectManagerTrace" -p "Microsoft-Windows-Kernel-Process" 0xFFFFFFFF 0xFF -ets
   
   # Ajouter le fournisseur de système de fichiers pour la corrélation d'accès aux périphériques
   logman update trace "ObjectManagerTrace" -p "Microsoft-Windows-Kernel-File" 0xFFFFFFFF 0xFF -ets

3. Laissez la trace s'exécuter pendant la période où les événements 4912 se produisent, puis arrêtez-la :

   logman stop "ObjectManagerTrace" -ets

4. Analysez la trace ETW à l'aide de Windows Performance Analyzer (WPA) ou convertissez-la en un format lisible :

   # Convertir ETL en CSV pour analyse
   tracerpt C:\Traces\ObjectManager.etl -o C:\Traces\ObjectManager.csv -of CSV

5. Analysez les données de trace pour les opérations de liens symboliques :

   # Script PowerShell pour analyser les événements pertinents
   $traceData = Import-Csv "C:\Traces\ObjectManager.csv"
   $symbolicLinkEvents = $traceData | Where-Object {
       $_.EventName -like "*SymbolicLink*" -or 
       $_.EventName -like "*ObjectCreate*"
   } | Select-Object TimeStamp, ProcessName, EventName, Details