Analyse de malware « for dummies »
Botnets, la menace invisible

Les analystes de malwares ont la tâche ardue du fait du nombre sans cesse croissant de malwares qui se propagent sur Internet. Parmi ceux-ci, les bots sont très bien représentés ! Des outils sont nécessaires pour automatiser au mieux l'analyse des malwares afin d'identifier certains comportements suspicieux ou certaines souches de malwares.

Nous proposons dans ce chapitre de présenter deux techniques disponibles au grand public pour réaliser des analyses simples d'exécutables suspicieux récupérés sur Internet. Bien que cela soit souvent réalisé à des fins de recherche sur les malwares et autres botnets, cela peut tout de même se révéler utile dans certains cas pour des utilisateurs « normaux ».

Une première méthode – plutôt simple – est de réaliser une analyse par une batterie d'antivirus disponible et d'en récupérer les résultats. Un service gratuit et en ligne est fourni par la société VirusTotal. Cela est bien utile pour identifier des binaires suspects. Il ne faut surtout pas oublier qu'un antivirus est très facilement contournable par tout un ensemble de techniques (obfuscation, chiffrement, polymorphisme...) mais qu'il reste tout de même utile pour identifier des signatures de logiciels malveillants bien connus.

Une deuxième méthode – plus compliquée – est de réaliser une analyse dynamique en se reposant sur des « sandbox » publiques qui auront pour tâche de tracer le comportement de l'exécutable suspect et de résumer son comportement sur des aspects critiques (lecture/écriture dans la base de registre, lancement de processus, activité réseau...).

Pour exemple, nous avons donc utilisé ces techniques sur des binaires qui ont été récupérés sur des pots de miel ayant simulé une compromission au point de récupérer le binaire malveillant. À noter que ces binaires datent d'environ deux ans et sont donc représentatifs de l'activité botnet de l'époque.

Grâce à la figure 14, nous constatons que malgré l'ancienneté du malware, le taux de détection par les différents antivirus disponibles dans VirusTotal n'atteint pas 100 %. Cela prouve encore une fois que les antivirus sont très perfectibles...

La figure 15 présente les types de rapport d'analyse disponibles grâce à la sandbox Anubis, comme les rapports en HTML ou PDF et une trace...