Chapitre 6 (suite) — Analyse de Malware & Détection

⏱ ~25 min autonome · ~40 min encadré

Ce chapitre passe du côté défensif : comment un analyste étudie un échantillon suspect, et comment une organisation détecte une compromission déjà en cours.

Distinguer analyse statique et analyse dynamique d'un malware.
Expliquer le rôle d'un bac à sable (sandbox) dans l'analyse de malware.
Relier les indicateurs de compromission (IOC) aux outils de détection modernes (antivirus, EDR).

Analyse de malware, introduction

Analyse statique vs dynamique

Type	Principe	Avantage	Limite
Statique	Examiner le code sans l'exécuter	Aucun risque d'infection réelle pendant l'analyse	Un code fortement obscurci peut être difficile à interpréter sans l'exécuter
Dynamique	Exécuter l'échantillon dans un environnement contrôlé et observer son comportement réel	Révèle le comportement effectif même si le code est obscurci	Nécessite un environnement d'exécution isolé pour éviter toute propagation accidentelle

Bac à sable (sandboxing) — principe

Un bac à sable est un environnement isolé — souvent une machine virtuelle jetable, sans accès au réseau réel — où un échantillon suspect peut être exécuté sans risque pour les systèmes de production. L'analyste observe alors les fichiers créés, les connexions réseau tentées, les modifications de registre — un comportement bien plus révélateur qu'une simple lecture du code.

Mémorisez ! Certains malwares modernes détectent activement qu'ils s'exécutent dans un bac à sable (en cherchant des signes d'environnement virtualisé) et modifient leur comportement en conséquence — une course perpétuelle entre techniques d'évasion d'analyse et sophistication des bacs à sable.

Détection et défense

Antivirus et EDR — principes de fonctionnement

Un antivirus traditionnel compare les fichiers à une base de signatures connues — efficace contre les menaces déjà documentées, mais aveugle par nature face à un malware inédit. Un EDR (Endpoint Detection and Response) va plus loin : il surveille en continu le comportement des points de terminaison (postes, serveurs) pour repérer des activités suspectes même en l'absence de signature connue — une action inhabituelle plutôt qu'une simple correspondance de fichier.

Indicateurs de compromission (IOC)

Les quatre types d'IOC déjà introduits au Chapitre 1 (courriel, réseau, hôte, comportemental) sont précisément ce qu'un EDR et une équipe de sécurité surveillent activement — un fichier au hash connu, une connexion vers un domaine déjà associé à une campagne malveillante, ou une séquence d'actions typique d'un rançongiciel en cours de chiffrement massif de fichiers.

Scénario : Un EDR détecte qu'un processus normalement inoffensif (un outil d'administration système légitime) commence soudainement à chiffrer des centaines de fichiers en quelques secondes — un indicateur comportemental, pas une signature de fichier. C'est exactement le type de détection qu'un antivirus traditionnel, basé uniquement sur les signatures, aurait manqué si l'outil utilisé était lui-même parfaitement légitime.

Chapitre suivant → Sniffing, Ingénierie Sociale & DoS

Quiz — Analyse de Malware & Détection

1. Quel est l'avantage principal de l'analyse statique par rapport à l'analyse dynamique ?

Elle révèle toujours mieux le comportement réel Aucun risque d'infection réelle, puisque le code n'est jamais exécuté Elle est toujours plus rapide Elle ne nécessite aucun outil

L'analyse statique examine le code sans l'exécuter, éliminant le risque d'infection pendant l'analyse.

2. Qu'est-ce qu'un bac à sable (sandbox) dans le contexte de l'analyse de malware ?

Un antivirus traditionnel Une base de signatures connues Un environnement isolé où exécuter un échantillon suspect sans risque Un pare-feu applicatif

Le bac à sable permet d'observer le comportement réel d'un échantillon dans un environnement contrôlé et isolé.

3. Pourquoi certains malwares modernes cherchent-ils à détecter un environnement de bac à sable ?

Pour s'exécuter plus rapidement Par accident, sans intention Pour améliorer leur chiffrement Pour modifier leur comportement et échapper à l'analyse

Détecter un environnement virtualisé/isolé permet au malware de dissimuler son vrai comportement pendant l'analyse.

4. Quelle est la limite fondamentale d'un antivirus basé uniquement sur les signatures ?

Il est aveugle face à un malware inédit, sans signature connue Il ne fonctionne que sur Linux Il nécessite un accès administrateur permanent Il ne peut jamais détecter de virus

Une base de signatures ne peut reconnaître que des menaces déjà documentées, laissant les menaces inédites indétectées.

5. Qu'est-ce qui distingue un EDR d'un antivirus traditionnel ?

L'EDR ne surveille que les courriels L'EDR est toujours gratuit L'EDR surveille le comportement en continu, même sans signature connue Il n'y a aucune différence

L'EDR détecte des comportements anormaux en continu, au-delà de la simple correspondance de signatures.

6. Un processus légitime qui commence soudainement à chiffrer des centaines de fichiers illustre quel type d'indicateur de compromission ?

Indicateur courriel Indicateur comportemental Indicateur réseau Indicateur d'hôte

Une séquence d'actions anormale, comme un chiffrement massif soudain, est un indicateur comportemental.

7. Pourquoi l'analyse dynamique nécessite-t-elle un environnement d'exécution isolé ?

Pour accélérer l'exécution du malware Ce n'est pas nécessaire Pour respecter la loi sur la protection des données Pour éviter toute propagation accidentelle du malware exécuté

Exécuter un malware réel exige un isolement complet pour éviter d'infecter des systèmes réels par accident.

8. Quel est l'avantage principal de l'analyse dynamique face à un code fortement obscurci ?

Elle révèle le comportement réel même si le code est illisible statiquement Elle élimine tout risque d'infection Elle ne nécessite jamais d'environnement isolé Elle est toujours plus rapide que l'analyse statique

L'exécution révèle le comportement effectif, contournant la difficulté de lire un code obscurci sans l'exécuter.

9. Les quatre types d'IOC (courriel, réseau, hôte, comportemental) ont été introduits à quel chapitre ?

Chapitre 5 Chapitre 8 Chapitre 1 Chapitre 12

Les IOC ont été présentés dans la section sur la Cyber Kill Chain du Chapitre 1.

10. Quel outil de détection est le plus susceptible de repérer un malware totalement inédit, sans signature connue ?

Un antivirus basé sur signatures uniquement Un EDR surveillant le comportement Un pare-feu de périmètre classique Aucun outil ne peut jamais détecter une menace inédite

La surveillance comportementale d'un EDR peut repérer une activité anormale même sans signature préexistante.