svchost.exe (-s dps) (Service de politique de diagnostic)

• Fonction: Bien qu’il soit officiellement destiné à diagnostiquer des problèmes système (notamment la connectivité réseau), le Diagnostic Policy Service (DPS) enregistre souvent des informations sur les processus exécutés, y compris les chemins et parfois les horodatages de compilation intégrés dans l’en-tête de l’exécutable.

• Identifier le processus : Localisez l’instance hébergeant le service « DPS ».svchost.exe

• Motifs de recherche courants (Regex, insensible à la majuscule) :

  • ^([a-zA-Z]:\\.+)\\?$: Un schéma large qui révèle souvent des chemins complets vers les fichiers exécutés. Les chaînes environnantes peuvent parfois inclure des informations sur la date de compilation..exe

  • ^!![A-Z]((?!Exe).)*$: Cible spécifiquement les chemins enregistrés par le DPS qui ne se terminent pas par , dans le but de capturer des exécutables renommés/sans extension..exe