API Monitor Forensics

Définition

API Monitor est un outil d'instrumentation Windows qui capture et enregistre tous les appels aux APIs Windows effectués par un processus, avec leurs paramètres d'entrée et leurs valeurs de retour en temps réel. Pour l'analyse de malwares, il offre une visibilité à un niveau de granularité impossible à obtenir avec les seuls logs système. Développé par Rohitab Batra, API Monitor supporte plus de 10 000 fonctions APIs Windows définies dans des fichiers XML extensibles. Il capture aussi bien les APIs Win32 standard (CreateFile, RegSetValue, CreateProcess, VirtualAllocEx, WriteProcessMemory) que les APIs COM/DCOM, les fonctions NTDLL natives, et même des fonctions non documentées. Cette couverture exhaustive en fait l'outil de référence pour comprendre exactement ce que fait un malware au niveau des interactions système. Les appels API forensiquement les plus révélateurs pour l'analyse de malwares incluent : VirtualAllocEx+WriteProcessMemory+CreateRemoteThread (injection de code), NtUnmapViewOfSection+NtMapViewOfSection (process hollowing), CreateService (persistance via services), RegSetValue avec des chemins Run/RunOnce (persistance registre), CryptEncrypt/BCryptEncrypt (chiffrement — ransomware), WinHttpOpenRequest/InternetReadFile (communication C2), et SetFileTime (timestomping). API Monitor peut filtrer la capture par processus, par module (dll), et par fonction spécifique, réduisant le bruit pour se concentrer sur les appels suspects. La fonctionnalité de comparaison permet d'analyser les différences entre le comportement d'un processus sain et d'un processus infecté. Les captures peuvent être sauvegardées et partagées. Pour éviter la détection d'API Monitor par les malwares qui vérifient la présence de hooks ou de DLL d'instrumentation dans leur espace d'adressage, des techniques de hook furtif et des modifications de l'ordre de chargement des DLLs peuvent être nécessaires pour les malwares les plus évasifs.