Analyse dynamique en bac à sable

L’analyse dynamique exécute un logiciel malveillant dans un environnement contrôlé afin d’observer son comportement réel : fichiers créés, clés de registre modifiées, connexions réseau établies et processus lancés. Elle révèle ce que l’analyse statique ne peut pas montrer.

Un bac à sable entoure l’OS de points d’interception qui interceptent les appels système. Les journaux comportementaux enregistrent chaque événement lié aux fichiers, au registre, au réseau et aux processus. Bacs à sable courants : Any.run (interactif), Cuckoo (auto-hébergé) et Joe Sandbox.

Utilisez VMware ou VirtualBox avec un réseau réservé à l’hôte ou un VLAN dédié. Prenez un instantané d’un état sain avant d’exécuter les échantillons. Ne connectez jamais votre VM d’analyse aux réseaux de production : le logiciel malveillant pourrait tenter un déplacement latéral.

Soumettez l’échantillon, observez-le dans une VM interactive en direct et téléchargez le rapport comportemental complet. Any.run met automatiquement en évidence les indicateurs réseau, les arbres de processus, les fichiers déposés et les étiquettes de techniques MITRE ATT&CK.

L’arbre des processus montre les relations parent-enfant. Voir word.exe lancer powershell.exe, qui lance ensuite cmd.exe, indique un chargeur fondé sur une macro. Les processus enfants inattendus sont un indicateur clé de compromission.

Les captures réseau du bac à sable montrent les requêtes DNS (résolution du domaine C2), les communications périodiques HTTP/S et l’exfiltration de données. Notez les adresses IP de destination, les ports, les chaînes d’agent utilisateur et les motifs d’URI : tous deviennent des IOC réseau.

Les logiciels malveillants déposent souvent des charges utiles dans %TEMP%, %APPDATA% ou des répertoires système. Ils peuvent remplacer des fichiers binaires légitimes (détournement de DLL) ou ajouter des scripts de persistance. Surveillez attentivement les fichiers créés, modifiés et supprimés.

La persistance par les clés Run (HKCU\Software\Microsoft\Windows\CurrentVersion\Run), l’installation de services (HKLM\SYSTEM\CurrentControlSet\Services) et le détournement de COM apparaissent tous comme des événements du registre dans les journaux du bac à sable.

Cuckoo s’exécute sous Linux et gère des VM Windows comme machines invitées d’analyse. L’API REST accepte les échantillons, renvoie des rapports JSON et s’intègre aux plateformes de renseignement sur les menaces. Des modules personnalisables capturent des vidages de mémoire et des captures réseau PCAP.

Les logiciels malveillants sophistiqués recherchent des artefacts de bac à sable : faible nombre de processus, absence de mouvement de souris, clés de registre de VM (VMware Tools), motifs d’identifiants utilisateur particuliers ou durée de fonctionnement courte. Utilisez du matériel réel ou des bacs à sable fonctionnant longtemps pour déjouer ces techniques d’évasion.

L’analyse dynamique confirme ce que laissait supposer l’analyse statique. Si l’analyse statique a trouvé des importations suspectes, l’analyse dynamique montre si elles ont effectivement été appelées et avec quels paramètres, ce qui permet d’établir un profil comportemental complet.

L’analyse dynamique exécute sans danger un logiciel malveillant dans un bac à sable isolé afin d’en capturer le comportement réel. Les arbres de processus, le trafic réseau, les modifications du registre et les opérations sur les fichiers dressent ensemble un tableau complet des fonctionnalités du logiciel malveillant et de ses IOC.