← Arthur Guillaume / PortfolioInvestigation & décision · 5 minutes
Laboratoire interactif · 01

Un outil connu.
Une élévation suspecte.

Une tentative de contournement UAC est détectée avant un lancement de Velociraptor. Examinez les éléments, décidez de la réponse et comparez votre raisonnement à celui d’Arthur.

Simulation uniquementDonnées fictivesAucune commande exécutée
Tentative bloquée

Élévation UAC → Velociraptor

L’EDR signale une tentative de bypass UAC associée à une demande de lancement de velociraptor.exe avec des privilèges élevés. Aucun changement autorisé n’est connu de l’analyste au moment du triage.

Poste
CLIENT-WS-042
Compte
CLIENT\support.local
Priorité du scénario
Haute · qualification requise
Date fictive
14 septembre 2026 · 09:41

01 / Reconstituer les faits

  1. Début de la chaîne

    Un interpréteur de commandes est lancé dans une session de support. L’intention de l’opérateur n’est pas établie.

  2. Contournement UAC détecté

    L’EDR détecte un comportement visant à contourner la demande d’élévation UAC. Les commandes et détails d’exploitation sont volontairement omis.

  3. Lancement demandé : velociraptor.exe

    Une demande de lancement avec privilèges élevés est observée. L’EDR bloque la tentative ; le succès de l’élévation et l’exécution de l’outil ne sont pas confirmés.

  4. Alerte transmise au SOC

    La protection a bloqué la tentative. Aucun déblocage n’a été effectué.

02 / Examiner les indices

Identité de l’outil

Velociraptor est présenté ici comme un outil d’investigation et de réponse à incident. Son nom seul ne prouve ni la légitimité de l’intervention ni l’authenticité du fichier observé.

Autorisation et contexte

Aucun ticket d’intervention approuvé n’est disponible dans les éléments fournis. Le client doit confirmer l’identité de l’opérateur, l’objectif et le périmètre de l’intervention.

Ce que la télémétrie ne dit pas

Les événements sont synthétiques. Aucun hash, verdict de signature ou indicateur réseau réel n’est fourni. L’alerte permet d’identifier une tentative, pas de conclure à elle seule à une compromission complète.

Éléments à préserver

Horodatages, poste, compte, arbre de processus, événement de détection, action de l’EDR et informations du fichier. Conserver les preuves avant toute suppression ou nettoyage.

03 / Prendre une décision

Changer de variante réinitialise votre réponse.

Quelle action immédiate ?
Quelles suites donner ?

Votre saisie reste dans cette page et n’est ni envoyée ni enregistrée. Elle n’est pas évaluée automatiquement.