AV Evasion

Définition

L'évasion antivirus (AV Evasion) regroupe les techniques permettant à des programmes malveillants de contourner les mécanismes de détection des logiciels antivirus traditionnels, qui reposent principalement sur des signatures statiques, une analyse heuristique et parfois des comportements émulés. Contourner un AV est souvent la première étape de tout déploiement de payload dans un environnement protégé. Les méthodes classiques d'évasion incluent : le packing/compression (compresser l'exécutable avec UPX, Themida, ou des packers custom, rendant le code original inaccessible à l'analyse statique), les crypters (chiffrer le payload et l'emballer dans un stub de déchiffrement), la polymorphie (générer des variantes légèrement différentes du code à chaque exécution via des mutations d'instructions, XOR avec des clés différentes), et la métamorphie (transformer radicalement la structure du code à chaque génération tout en préservant la fonctionnalité). Les techniques modernes incluent : l'obfuscation de chaînes (encoder les chaînes sensibles comme les noms de fonctions API Windows, les IPs C2, et les paths), la compilation personnalisée (compiler des outils open source (Mimikatz, Cobalt Strike) avec des modifications mineures qui cassent les signatures existantes), les shellcode loaders custom (développer des loaders en C/Rust/Go qui injectent un shellcode chiffré en mémoire, avec différentes méthodes de déchiffrement), et les techniques de 'unhooking' (supprimer les hooks userland des EDR pour exécuter les API Windows directement). La détection basée sur les comportements est plus difficile à contourner que les signatures statiques, nécessitant des techniques d'évasion comportementale : délais d'activation (sleep before execution), vérification de l'environnement sandbox (VM detection, absence de fichiers d'activité utilisateur, timing), et exécution conditionnelle basée sur des indicateurs d'environnement réel. La course perpétuelle entre les AV/EDR et les techniques d'évasion est documentée dans des projets comme VirusTotal (pour tester les détections) et des ressources comme https://antiscan.me qui permettent de tester sans soumission à VirusTotal.