Malware : anatomie et analyse technique

Un malware est un logiciel malveillant conçu pour compromettre la confidentialité, l'intégrité ou la disponibilité d'un système cible. L'anatomie d'un malware se décompose en plusieurs composants fonctionnels : un vecteur d'infection initial (phishing, exploit, supply chain), un dropper ou loader chargé de déposer la charge utile, puis un payload exécutant les objectifs réels de l'attaquant. Les familles principales incluent les RAT (Remote Access Trojan), les ransomwares, les infostealers, les rootkits et les bootkits. Chaque famille utilise des mécanismes distincts : un rootkit opère en ring 0 pour masquer ses artefacts au kernel, tandis qu'un infostealer cible les credentials stockés en mémoire ou dans les navigateurs. La persistance est assurée via des clés de registre Run, des tâches planifiées, des services Windows ou des techniques LSASS. Le malware moderne recourt au chiffrement de ses communications C2, au process hollowing ou à la DLL injection pour échapper aux contrôles statiques. Comprendre l'anatomie précise de chaque famille est indispensable pour adapter la réponse défensive et limiter le temps de séjour de l'attaquant sur le réseau.

La détection d'un malware actif repose sur plusieurs couches d'observabilité. Côté logs Windows, les événements Sysmon ID 1 (création de processus), ID 3 (connexions réseau), ID 7 (chargement de DLL) et ID 11 (création de fichiers) constituent les sources primaires. L'Event ID 4688 du journal Security trace les créations de processus avec ligne de commande complète si la politique d'audit est activée. Les indicateurs de compromission (IOC) à surveiller incluent les processus enfants anormaux de Office ou de navigateurs, les connexions sortantes vers des plages IP inhabituelles sur des ports non standards, et les modifications de clés de registre HKCU\Software\Microsoft\Windows\CurrentVersion\Run. Un EDR comme Defender for Endpoint, CrowdStrike ou SentinelOne corrèle ces événements en temps réel. L'analyse mémoire avec Volatility permet d'identifier des injections de code dans des processus légitimes comme svchost.exe. Les flux réseau vers des domaines générés algorithmiquement (DGA) sont détectables par des modèles de machine learning intégrés aux SIEM modernes. L'enrichissement des alertes avec des feeds de Threat Intelligence (MISP, OpenCTI) accélère la qualification et réduit le temps de réponse des analystes SOC.

En Red Team, le développement ou l'adaptation d'un malware vise à contourner les défenses en place. Les techniques courantes incluent le process hollowing, qui consiste à créer un processus légitime en état suspendu avant d'y injecter la charge utile, et le syscall direct pour éviter les hooks placés par les EDR dans ntdll.dll. Les outils comme Cobalt Strike, Havoc ou Sliver servent de frameworks C2 modulaires permettant de tester la robustesse des détections. L'obfuscation du payload passe par le chiffrement XOR ou AES, le packing, ou l'utilisation de langages moins analysés comme Nim ou Go pour réduire les signatures statiques. Côté Blue Team, le durcissement passe par l'activation de l'AMSI (Antimalware Scan Interface), la restriction des macros Office via GPO, et l'application de règles YARA sur les points de dépôt de fichiers. Windows Defender Application Control (WDAC) et AppLocker limitent l'exécution aux binaires signés approuvés. L'isolation des workloads sensibles et la segmentation réseau réduisent le rayon d'action d'un malware après compromission initiale. Les exercices de simulation d'attaque (Purple Team) permettent de valider l'efficacité réelle de ces contrôles avant qu'un attaquant réel ne les teste.