Lumières sur la sécurité

lundi 26 mars 2018

Ce n’est un secret pour personne que les cybercriminels travaillent dur pour tromper les antivirus. Les programmes malveillants avancés n’ont même pas de signature ; ils modifient leur code en temps réel ou n’ont même pas de corps en propre et utilisent des morceaux de code d’autres programmes. Mais peu importe la façon dont se cache l’ennemi, pour arriver à ses fins, il doit agir. Et c’est là qu’il s’expose et peut être pris en flagrant délit.

Supposons qu’un antivirus détecte un malware par sa signature. Pour cela, celle-ci doit être générée avant l’examen du code du Trojan/virus. Bien entendu, les créateurs de virus font leur maximum pour saper le travail des analystes.

Commençons par l’analyse du code. Tout programme représente un ensemble d’instructions CPU et de données qui doivent être processées. Des logiciels spécifiques, comme les débuggeurs, peuvent analyser des séquences d’instructions et aider les chercheurs à comprendre ce que fait le programme ou même à restaurer le code source d’un logiciel malveillant.

https://ru-sf.ru/threads/delaem-svoj-virlab-vvedenie.3162

Inversement, certaines méthodes compliquent une analyse de ce type. Il est intéressant de noter que les développeurs de logiciels légitimes utilisent également cette méthode – pour s’assurer du fait que leur logiciel ne sera pas cracké.

Il existe deux approches dans l’analyse du code – statique et dynamique. L’analyse statique consiste à utiliser n’importe quel code ou fragment de code d’un logiciel dont disposent les analystes. La façon la plus simple de se protéger de l’analyse statique est de chiffrer le code malveillant grâce au bon utilitaire afin qu’il ne soit décompressé que lors d’une exécution ultérieure. L’obfuscation est la seconde technique. Des compilateurs spéciaux réarrangent des morceaux du code afin de le rendre plus difficilement compréhensible.

Que font les analystes si un code est bien chiffré ? L’analyse dynamique peut les aider. Elle leur permet d’observer la façon dont se comporte le malware lorsque son code est exécuté. Peu importe que le malware dissimule correctement son code, pour être exécuté, il doit le « révéler » - c’est à ce moment qu’il devient vulnérable face aux antivirus. Les cybercriminels le savent bien et perturbent le debug logiciel. Les antivirus sont connus pour utiliser plusieurs techniques de détection des malwares. Mais le malware peut utiliser également des signatures.

Les malwares peuvent également détecter si un logiciel de debug est en cours d’exécution dans le système et répondre par un arrêt inopiné par exemple.

Comment un logiciel peut-il dire s’il a été débuggé ? De plusieurs façons. Il peut par exemple contrôler le moment (l’heure) de son exécution.

Les logiciels malveillants sont souvent analysés sur des machines virtuelles. Les machines virtuelles standard peuvent être détectées par le type de hardware dont disposent les logiciels qui fonctionnent dessus, ainsi que par des entrées du registre spécifiques et par d’autres propriétés système. Le malware peut rechercher les propriétés et les analystes modifieront la machine virtuelle afin de rendre son comportement identique à celui d’un « vrai » ordinateur.

Il est intéressant de noter que Microsoft possède des moyens de se protéger du debug.

Il est clair que toutes ces mesures sont prises pour protéger les logiciels légitimes des pirates, mais les attaquants peuvent les utiliser aussi.