Tirer sur le déclencheur d’évènements

Eventtriggers.exe présente un ensemble de paramètres plutôt complexes. Les paramètres de niveau supérieur sont /create, /delete et /query : ils vous permettent de créer un déclencheur (les déclencheurs restent dans le système jusqu’à ce que vous les supprimiez, plutôt que de se déclencher une fois et de disparaître), de supprimer un déclencheur et de donner la liste des déclencheurs présents dans le système, respectivement. De manière simplifiée, la syntaxe de création d’un déclencheur est la suivante

eventtriggers /create /eid <eventidnumber> /tr <triggername> /tk <actiontotake>

Eventidnumber est le numéro qui indique quel événement spécifique vient de se produire – par exemple, 680 pour un logon de compte, ou 1054 quand les stratégies de groupe ne peuvent pas trouver un DC (domain controller) pour obtenir vos fichiers Stratégies de Groupe. Triggername est un label qui identifie le déclencheur – ce label est nécessaire pour lire les journaux déclencheurs d’événement (« quel déclencheur a fait cela ? ») ou pour supprimer un déclencheur. Actiontotake est la commande que le système devra exécuter quand l’ID de l’événement particulier se produira. Ce peut être une commande ligne de commande ou le nom d’un fichier batch à exécuter.

Avant de creuser davantage la syntaxe d’Eventtriggers – il regorge de paramètres utiles – essayons un exemple. L’event ID 64002 est l’un de ceux qu’il est facile de générer pour notre test. Windows File Protection génère l’event ID 64002 quand vous supprimez l’un des fichiers .exe, .dll, .sys ou .ocx livrés avec l’OS dans le répertoire \system32. Pour démontrer la génération de cet event ID, tapez simplement

del C:\windows\system32\sol.exe

sur une boîte Windows 2003 ou XP. (Si vous avez mis à niveau le système à partir d’une version antérieure de Windows NT, vous utiliserez \winnt au lieu de \windows.) Désormais, quand vous consulterez le journal System, vous pourrez voir l’event ID 64002. Ensuite, quelle action devons-nous ordonner au système ? Si le service Messenger est activé, vous pouvez utiliser la commande Net Send. En supposant que votre username soit jack 123,

net send jack123  Quelque chose est en train de supprimer les fichiers système!

ferait surgir sur votre bureau une boîte grise indiquant Quelque chose est en train de supprimer les fichiers système!

Mais il nous faut autre chose : un contexte de sécurité. Par défaut, Eventtriggers exécutera la commande Net Send (ou toute autre commande) sous le compte System, mais System ne peut pas exécuter certaines commandes, y compris Net Send. Donc, nous pouvons ajouter deux autres paramètres – /ru et /rp – pour donner à Eventtriggers un compte utilisateur et un mot de passe qu’il utilisera pour exécuter Net Send. Si votre compte utilisateur est jack123 et si votre mot de passe est swordfish, vous pourriez utiliser la commande suivante pour créer un nouveau déclencheur d’événement nommé sysalert :

eventtriggers /create /eid 64002 /tr sysalert
/tk "net send jack123 Something’s deleting system files!"
/ru jack123 /rp swordfish

 Bien entendu, cette commande vous informe simplement du fait que la suppression a lieu. Il vous restera à trouver le malfaisant pour l’arrêter.

Dans l’espace qui me reste, je vous propose quelques autres commandes Eventtriggers utiles. Pour lister vos déclencheurs d’événements, tapez

eventtriggers /query /v

Pour les supprimer tous, tapez

eventtriggers /delete /tid *

Le mois prochain, nous verrons d’autres commandes Eventtriggers.