Analyser un malware n’est jamais une fin en soi : le but est de comprendre pour agir — appliquer des contre-mesures, générer des indicateurs de compromission (IOC) exploitables par une équipe de défense. Cette finalité oriente toute la démarche, de la préparation de l’environnement à l’analyse elle-même.
Préparer l’environnement
Avant d’ouvrir le moindre échantillon, l’environnement d’analyse doit être verrouillé :
- isolation stricte de la machine d’analyse, en VM ou en sandbox dédiée (REMnux, CAPEv2) ;
- configuration réseau contrôlée — réseau interne isolé ou NAT adapté, afin de maîtriser le trafic sortant tout en l’enregistrant ;
- snapshots réguliers, pour revenir à un état sain sans reconstruire l’environnement à chaque essai ;
- désactivation ou adaptation raisonnée des solutions de sécurité, quand elles interfèrent avec l’observation ;
- installation des outils de base — System Informer, Procmon, Wireshark, Autoruns, Ghidra, x64dbg ;
- recensement des indicateurs initiaux, avant même toute exécution.
Cette discipline n’est pas de la prudence excessive : un échantillon mal confiné peut compromettre le poste d’analyse lui-même, ou pire, se propager au-delà.
L’analyse statique préliminaire
Le premier geste, avant toute exécution, est de se faire une vision d’ensemble du fichier suspect sans le lancer. Des outils comme PEStudio permettent d’identifier la structure du fichier PE, d’évaluer son entropie — un indice élevé trahissant souvent un chiffrement ou un packing — et de répertorier ses importations (CreateFileW, CreateProcessW, etc.), qui esquissent déjà la fonctionnalité principale du binaire.
L’extraction de chaînes est tout aussi précieuse : elle peut révéler des adresses IP, des domaines de commande et contrôle (C2), ou du texte en clair trahissant la famille du malware. Si un packer est repéré, il faut envisager un unpacking manuel ou automatisé avant de pousser plus loin.
Limitations de l'analyse statique
Rapide et sûre en environnement isolé, l’analyse statique atteint vite ses limites face à un malware fortement obfusqué ou packé : les informations recueillies peuvent alors être partielles, voire délibérément trompeuses. Elle n’est jamais qu’un premier passage, à confirmer par l’analyse dynamique.
Le rôle des techniques d’obfuscation
L’analyse de malware et le reverse engineering partagent le même outillage, mais l’auteur d’un malware a un intérêt direct à ce que l’analyse échoue — d’où le recours systématique aux techniques d’obfuscation et d’anti-débogage, que je détaille dans la note sur les techniques d’évasion.