Logiciels malveillants sans fichiers et techniques d’exécution en mémoire

Les logiciels malveillants sans fichier s’exécutent entièrement en mémoire sans écrire de fichiers exécutables sur le disque. Ils exploitent des outils légitimes de l’OS, des environnements d’interprétation (PowerShell, WScript) et l’injection en mémoire pour fonctionner tout en ne laissant que peu de traces d’analyse informatique légale, détectables par les antivirus traditionnels et l’analyse fondée sur les fichiers.

PowerShell permet des schémas de téléchargement et d’exécution : IEX (Invoke-Expression) télécharge et exécute des scripts directement depuis Internet sans toucher au disque. Les techniques d’obfuscation (remplacement de caractères, encodage base64, concaténation de chaînes) contournent la détection fondée sur les signatures du contenu de scripts malveillants.

Les binaires natifs détournés sont des binaires Windows légitimes qui peuvent être transformés en armes : certutil.exe (télécharger des fichiers), mshta.exe (exécuter des scripts HTA), regsvr32.exe (exécuter des objets COM distants), wmic.exe (exécuter des commandes) et PowerShell (pour toutes sortes d’actions). Ils sont préinstallés, signés et souvent autorisés par liste blanche.

Injection classique : VirtualAllocEx → WriteProcessMemory → CreateRemoteThread. Évidement de processus : lancer un processus légitime en état suspendu, désassocier son code et le remplacer par du code malveillant. Injection de DLL via SetWindowsHookEx ou AppInit_DLLs. Dans tous les cas, le code malveillant s’exécute au sein de processus de confiance.

L’injection réflexive de DLL charge une DLL depuis la mémoire sans utiliser le chargeur Windows ni toucher au disque. La DLL contient son propre mini-chargeur qui résout les importations et se repositionne. Meterpreter utilise le chargement réflexif, ce qui explique qu’aucun fichier DLL ne soit laissé sur le disque.

L’évidement de processus crée un processus légitime (svchost.exe) dans un état suspendu, désassocie son exécutable d’origine de la mémoire, mappe un exécutable malveillant dans le même espace d’adressage, puis reprend l’exécution. Le processus semble légitime dans le gestionnaire des tâches, mais exécute du code malveillant.

L’interface d’analyse antimalware de Microsoft (AMSI) intercepte les scripts PowerShell pour analyse par l’AV. Les attaquants contournent AMSI en modifiant AmsiScanBuffer() en mémoire pour lui faire toujours renvoyer un résultat sain, ou en obfusquant les scripts sous les seuils de détection d’AMSI. La modification d’AMSI est elle-même détectable par l’EDR.

Les logiciels malveillants sans fichier se détectent par leur comportement, et non par la présence d’un fichier : PowerShell qui établit des connexions réseau, processus enfants inattendus d’applications Office, zones mémoire exécutables dotées de permissions d’exécution mais sans fichier sous-jacent (malfind), et arguments de ligne de commande de binaires natifs détournés contenant du contenu encodé.

Le traçage des événements Windows (ETW) fournit une télémétrie riche aux plateformes EDR : la journalisation des blocs de script capture les scripts PowerShell décodés, la journalisation des modules enregistre les DLL chargées, la création de processus avec leurs lignes de commande complètes et les événements de connexion réseau. Les fournisseurs ETW sont difficiles à désactiver pour les logiciels malveillants sans déclencher d’alertes.

L’outil malfind de Volatility identifie les zones mémoire exécutables suspectes. Les chaînes présentes dans la mémoire des processus peuvent révéler des URL de commande et contrôle ou des scripts intégrés. L’évidement de processus laisse l’image du processus d’origine désassociée — ce que l’on peut détecter en comparant la carte mémoire du processus à l’exécutable d’origine sur le disque.

Activez la journalisation des blocs de script PowerShell (ID d’événement 4104) et la journalisation des modules afin de capturer tout le contenu décodé des scripts. Le mode de langage restreint de PowerShell limite les opérations dangereuses. La liste blanche des applications avec WDAC empêche l’exécution de combinaisons non approuvées de binaires natifs détournés servant à exécuter des scripts malveillants.

Les logiciels malveillants sans fichier détournent PowerShell, les binaires natifs détournés et l’injection de processus pour s’exécuter entièrement en mémoire. Leur détection nécessite la journalisation des blocs de script, l’analyse comportementale des plateformes EDR, l’application d’AMSI, la liste blanche des applications et des outils d’analyse de la mémoire comme Volatility pour identifier le code injecté.