Un outil connu.
Une élévation suspecte.
Une tentative de contournement UAC est détectée avant un lancement de Velociraptor. Examinez les éléments, décidez de la réponse et comparez votre raisonnement à celui d’Arthur.
Élévation UAC → Velociraptor
L’EDR signale une tentative de bypass UAC associée à une demande de lancement de velociraptor.exe avec des privilèges élevés. Aucun changement autorisé n’est connu de l’analyste au moment du triage.
- Poste
- CLIENT-WS-042
- Compte
- CLIENT\support.local
- Priorité du scénario
- Haute · qualification requise
- Date fictive
- 14 septembre 2026 · 09:41
01 / Reconstituer les faits
Début de la chaîne
Un interpréteur de commandes est lancé dans une session de support. L’intention de l’opérateur n’est pas établie.
Contournement UAC détecté
L’EDR détecte un comportement visant à contourner la demande d’élévation UAC. Les commandes et détails d’exploitation sont volontairement omis.
Lancement demandé : velociraptor.exe
Une demande de lancement avec privilèges élevés est observée. L’EDR bloque la tentative ; le succès de l’élévation et l’exécution de l’outil ne sont pas confirmés.
Alerte transmise au SOC
La protection a bloqué la tentative. Aucun déblocage n’a été effectué.
02 / Examiner les indices
Identité de l’outil
Velociraptor est présenté ici comme un outil d’investigation et de réponse à incident. Son nom seul ne prouve ni la légitimité de l’intervention ni l’authenticité du fichier observé.
Autorisation et contexte
Aucun ticket d’intervention approuvé n’est disponible dans les éléments fournis. Le client doit confirmer l’identité de l’opérateur, l’objectif et le périmètre de l’intervention.
Ce que la télémétrie ne dit pas
Les événements sont synthétiques. Aucun hash, verdict de signature ou indicateur réseau réel n’est fourni. L’alerte permet d’identifier une tentative, pas de conclure à elle seule à une compromission complète.
Éléments à préserver
Horodatages, poste, compte, arbre de processus, événement de détection, action de l’EDR et informations du fichier. Conserver les preuves avant toute suppression ou nettoyage.
03 / Prendre une décision
Changer de variante réinitialise votre réponse.