Binary Diffing

Définition

Le Binary Diffing est une technique d'analyse consistant à comparer structurellement deux versions d'un même binaire compilé, par exemple une version saine et une version infectée par un malware, ou deux variantes successives d'un logiciel, afin d'identifier précisément les modifications introduites entre les deux. Cette approche s'applique à deux cas d'usage majeurs : l'analyse de patch, où la comparaison d'un binaire avant et après l'application d'un correctif de sécurité permet de localiser la fonction corrigée et d'en déduire la nature exacte de la vulnérabilité, une technique couramment utilisée pour développer un exploit de type n-day dans la fenêtre de temps entre la publication du patch et son déploiement effectif par les organisations, et l'analyse de malware, où la comparaison de deux variantes d'une même famille permet d'identifier l'évolution des techniques d'évasion ou de persistance employées par l'attaquant. Les outils de référence incluent BinDiff, développé initialement par Zynamics puis racheté par Google, qui s'appuie sur des algorithmes de correspondance de graphes de flot de contrôle pour identifier les fonctions similaires malgré des changements d'adresses ou de compilation, ainsi que Diaphora, alternative open source pour IDA Pro offrant des capacités de comparaison comparables avec un export détaillé des différences identifiées entre les deux versions analysées.