Analyse dynamique

L’analyse dynamique exécute le logiciel malveillant dans un environnement contrôlé et observe son comportement : fichiers créés, modifications du registre, processus lancés et trafic réseau.

Elle révèle ce que fait réellement l’échantillon, y compris les comportements masqués par l’empaquetage lors de l’analyse statique.

Exécutez un logiciel malveillant uniquement dans un bac à sable isolé : une machine virtuelle dotée d’un instantané propre auquel vous pouvez revenir.

Utilisez un réseau limité à l’hôte ou un faux réseau afin que le logiciel malveillant ne puisse pas accéder à Internet ni à vos systèmes réels. N’analysez jamais un échantillon sur une machine connectée à un réseau de production.

Avant de déclencher l’échantillon, prenez un instantané propre de la VM. Après l’analyse, revenez-y pour effacer toutes les modifications effectuées par le logiciel malveillant.

Vous pouvez ainsi exécuter l’échantillon plusieurs fois depuis un état de départ identique.

Procmon (Process Monitor) enregistre en temps réel l’activité des fichiers, du registre et des processus. Filtrer selon le nom du processus de l’échantillon montre exactement les éléments auxquels il accède.

Cela révèle les fichiers déposés, les clés de registre créées et les mécanismes de persistance.

Process Explorer et Process Hacker affichent les processus en cours, les relations parent-enfant et les threads injectés.

Les logiciels malveillants lancent souvent des processus enfants ou s’injectent dans des processus légitimes comme explorer.exe pour se dissimuler.

Utilisez Wireshark pour capturer le trafic et INetSim ou FakeNet-NG pour simuler des services Internet. Le logiciel malveillant croit avoir atteint son serveur, tandis que vous consignez les requêtes en toute sécurité.

Cela révèle les domaines de commande et de contrôle, les balises et les tentatives d’exfiltration.

L’analyse dynamique vous permet de recueillir des indicateurs de compromission (IOC) :

• Empreintes des fichiers et noms des fichiers déposés.
• Clés de registre assurant la persistance.
• Domaines et adresses IP de commande et de contrôle.
• Noms des mutex.

Les IOC aident les défenseurs à détecter et à bloquer la menace.

Observez comment le logiciel malveillant survit aux redémarrages. Les méthodes courantes comprennent :

• Clés d’exécution dans le registre.
• Tâches planifiées.
• Services.
• Entrées du dossier de démarrage.

L’emplacement de la persistance constitue un IOC de grande valeur et une cible de suppression.

Les logiciels malveillants sophistiqués détectent les bacs à sable et refusent de s’exécuter. Ils peuvent rechercher des artefacts de VM, une faible durée de fonctionnement, un petit nombre de cœurs CPU ou la présence d’un débogueur.

Certains retardent leur exécution ou exigent une interaction de l’utilisateur. Reconnaître ces techniques d’évasion fait partie de l’analyse dynamique.

Des outils comme Cuckoo Sandbox et des services en ligne (Any.Run, Hybrid Analysis) automatisent le déclenchement et produisent des rapports comportementaux.

Ils accélèrent le triage, mais une analyse manuelle attentive permet toujours de détecter ce que l’automatisation ne voit pas, en particulier avec les échantillons évasifs.

Les analyses statique et dynamique se complètent. L’analyse statique révèle les capacités et fournit des indices ; l’analyse dynamique confirme ce qui s’exécute réellement.

Un analyste passe généralement de l’une à l’autre : une chaîne trouvée statiquement indique quoi surveiller dynamiquement, tandis qu’un comportement observé renvoie au code à lire dans le désassembleur.

Rappelez-vous l’étape de sécurité essentielle avant de déclencher un logiciel malveillant.

Vous comprenez maintenant l’analyse dynamique des logiciels malveillants :

• Exécutez l’échantillon dans une VM isolée avec un instantané propre et un réseau simulé.
• Surveillez-le avec Procmon, Process Explorer et Wireshark + INetSim.
• Recueillez les IOC et identifiez les mécanismes de persistance.
• Surveillez les techniques d’évasion anti-analyse.

Vous allez ensuite lire directement le code grâce au désassemblage.