Analyse de Malware

Qu'est-ce que l'Analyse de Malware ?

L'analyse de malware est le processus d'examen du code malveillant afin de comprendre son comportement, ses capacités, son origine et ses objectifs. Elle est essentielle pour l'incident response, la threat intelligence et le développement de contre-mesures efficaces.

Types d'Analyse

1. Analyse Statique

Examen du malware sans l'exécuter :

  • Analyse des chaînes (strings) et des métadonnées
  • Identification des packers et de l'obfuscation
  • Analyse des en-têtes PE/ELF
  • Signatures et hashes (MD5, SHA-256, SSDEEP)
  • YARA rules matching

2. Analyse Dynamique

Exécution contrôlée dans un environnement isolé :

  • Sandbox analysis (Cuckoo, Any.Run, Joe Sandbox)
  • Surveillance des appels système
  • Analyse du trafic réseau
  • Modifications du filesystem et du registre
  • Processus créés et injections de code

3. Rétro-ingénierie

Analyse approfondie du code :

  • Disassembly et décompilation
  • Debugging et analyse du flux d'exécution
  • Identification des algorithmes de chiffrement
  • Extraction des configurations et des IOCs

Outils Essentiels

Analyse Statique

  • • PEiD / Detect It Easy
  • • PEStudio / CFF Explorer
  • • Strings / FLOSS
  • • VirusTotal / Hybrid Analysis
  • • YARA / Capa

Analyse Dynamique

  • • Cuckoo Sandbox
  • • Any.Run
  • • Process Monitor (Sysinternals)
  • • Wireshark / tcpdump
  • • Regshot

Reverse Engineering

  • • IDA Pro / Ghidra
  • • x64dbg / WinDbg
  • • dnSpy (pour .NET)
  • • JD-GUI (pour Java)
  • • Radare2

Mémoire et Forensique

  • • Volatility Framework
  • • Rekall
  • • SANS SIFT Workstation
  • • REMnux Distribution

Méthodologie d'Analyse

Phase 1 : Triage Initial

  • Calculer les hashes et les vérifier dans les bases de threat intelligence
  • Soumettre à des sandboxes publiques (VirusTotal, Hybrid Analysis)
  • Analyse rapide des strings et des imports
  • Déterminer le type de fichier et le packer éventuel

Phase 2 : Analyse Comportementale

  • Exécuter dans une sandbox contrôlée
  • Surveiller la création de fichiers et de processus
  • Capturer le trafic réseau et les connexions C2
  • Identifier les techniques de persistance

Phase 3 : Analyse Approfondie

  • Dépaquetage (unpacking) et désobfuscation
  • Reverse engineering des fonctions critiques
  • Extraction des configurations et des IOCs
  • Identification des familles et des variantes

Indicateurs de Compromission (IOCs)

IOCs essentiels à extraire :

  • File-based: Hashes, noms de fichiers, chemins
  • Network: IPs, domaines, URLs, User-Agents
  • Registry: Clés créées/modifiées
  • Behavior: Mutexes, named pipes, services
  • YARA rules: Modèles de détection réutilisables

Techniques d'Évasion Courantes

  • Anti-VM/Sandbox: Détection des environnements virtualisés
  • Anti-Debugging: Techniques pour échapper à l'analyse
  • Packing/Obfuscation: Obfuscation du code
  • Process Injection: DLL injection, process hollowing
  • Rootkit Capabilities: Dissimulation de processus et de fichiers
  • Fileless Malware: Exécution uniquement en mémoire

MITRE ATT&CK Framework

Mapper le comportement du malware aux techniques MITRE ATT&CK :

  • Initial Access (phishing, exploit public-facing app)
  • Execution (command and scripting, user execution)
  • Persistence (registry run keys, scheduled tasks)
  • Defense Evasion (obfuscation, process injection)
  • Command and Control (web protocols, DNS)
  • Exfiltration (exfiltration over C2, automated exfiltration)

Recommandations de Sécurité

  • [OK] Toujours analyser dans un environnement isolé (air-gapped)
  • [OK] Utiliser des snapshots de VMs pour une restauration rapide
  • [OK] Documenter toute l'analyse de manière détaillée
  • [OK] Partager les IOCs avec la communauté (MISP, OTX)
  • [OK] Maintenir les outils d'analyse toujours à jour
  • [OK] Créer des YARA rules pour la détection future
  • [OK] Intégrer les résultats aux plateformes de threat intelligence