Codes de raison USN — lire entre les bits

Si vous passez du temps en forensique Windows, le bitmask de raison USN va vite devenir un réflexe. C'est un champ 32 bits que NTFS positionne sur chaque enregistrement de journal pour résumer ce qui vient de changer sur un fichier. Les bits ne disent pas tout — ils sont additifs, pas exclusifs — mais lus ensemble ils dressent un tableau remarquablement précis du cycle de vie.

Les bits

Close est particulier : NTFS coalesce les opérations successives sur un même handle et n'émet l'enregistrement final qu'une fois le handle fermé. Un enregistrement sans Close reflète un flush intermédiaire — utile, mais c'est l'enregistrement avec Close qui fait foi.

Motifs récurrents

Quelques motifs reviennent assez souvent pour qu'on les reconnaisse au premier coup d'œil :

• Nouveau fichier écrit par une appli. FileCreate | DataExtend → DataExtend | Close → BasicInfoChange | Close. Le dernier, c'est le fichier qui reçoit son mtime à la fermeture.
• Renommage entre dossiers. Deux enregistrements sur le même FileReferenceNumber : RenameOldName | Close puis RenameNewName | Close. La référence parente diffère — c'est ainsi qu'on reconstruit le déplacement.
• Save-by-rename atomique. Beaucoup d'éditeurs écrivent dans un fichier temporaire puis renomment sur la cible. On voit FileCreate sur le tmp, FileDelete | Close sur l'original, et RenameNewName | Close sur le tmp.
• Ransomware chiffrer-puis-renommer. Des DataOverwrite couvrant des mégaoctets, suivis de RenameNewName | Close avec la nouvelle extension. Le compte et la cadence des DataOverwrite sont souvent les premiers signaux d'un échantillon sur disque.
• Quarantaine antivirus. Un FileDelete | Close immédiatement après un FileCreate récent, sur la même entrée MFT. Le journal donne la preuve que l'AV a touché le fichier, même si le fichier lui-même a disparu.

Ce que les bits ne diront pas

Le bitmask de raison parle du fichier, pas de l'acteur. Pas d'utilisateur, pas de PID, pas de ligne de commande. Combinez le journal avec Security.evtx (4663 accès objet) ou avec Microsoft-Windows-Sysmon/Operational pour attacher un acteur à chaque opération. Le journal USN vous donne le quand et le quoi ; les autres journaux donnent le qui.

Recette de lecture pragmatique

À l'ouverture d'un journal parsé :

1. Filtrez FileCreate pour repérer ce qui est réellement nouveau dans la fenêtre temporelle.
2. Cherchez RenameNewName pour attraper les mouvements et les motifs « enregistrer sous ».
3. Tracez le nombre de DataExtend dans le temps — les écritures massives (sauvegardes, chiffrement, staging d'exfiltration) sautent aux yeux.
4. Lisez en priorité les enregistrements portant Close ; traitez les intermédiaires comme du contexte.

L'application web de ce site permet de filtrer par combinaison arbitraire de raisons, ce qui rend les étapes 1 à 3 quasi instantanées.