Behavioral Analysis Malware

Définition

L'analyse comportementale (ou dynamique) de malware consiste à exécuter un échantillon malveillant dans un environnement contrôlé et isolé pour observer son comportement réel : modifications du système de fichiers, accès au registre, connexions réseau, processus créés, injections de code. Elle complète l'analyse statique en révélant les comportements obfusqués ou packagés qui ne sont pas visibles sans exécution. L'environnement d'analyse comportementale doit être soigneusement préparé. Une machine virtuelle (VMware, VirtualBox, Hyper-V) isolée du réseau de production est la base. La configuration doit imiter un poste de travail réel pour ne pas déclencher les mécanismes anti-VM/anti-sandbox présents dans de nombreux malwares modernes : CPUID tricks, vérification du nombre de processeurs, détection de l'accélération VM, vérification des logiciels installés (certains malwares cherchent la présence de Wireshark, Process Monitor). Des outils comme Pafish testent les protections de l'environnement. Les outils d'instrumentation capturent l'activité du malware en temps réel. Process Monitor (ProcMon de Sysinternals) enregistre tous les accès aux fichiers, au registre, et au réseau pour tous les processus. Wireshark capture le trafic réseau. API Monitor trace les appels aux fonctions Windows API. Noriben (surcouche automatisée de ProcMon) simplifie l'analyse en filtrant le bruit. Process Hacker surveille les processus et threads créés. L'analyse des délais et des triggers est importante : certains malwares attendent un certain nombre de redémarrages, une date spécifique, ou une interaction utilisateur avant d'agir (time bombs, logic bombs). D'autres vérifient la géolocalisation (n'agissent que dans certains pays). La simulation de ces conditions dans le sandbox peut nécessiter des configurations spécifiques. Les sandboxes automatisés (Cuckoo, ANY.RUN, Hybrid Analysis, Joe Sandbox) automatisent l'analyse comportementale et produisent des rapports complets avec IOCs, classifications MITRE ATT&CK, et artefacts réseau en quelques minutes.