Détonation de pièce jointe

Définition

La détonation de pièce jointe est une technique d'analyse de sécurité qui consiste à exécuter un fichier suspect joint à un courriel dans un environnement isolé, appelé bac à sable de messagerie, afin d'observer son comportement réel avant de le remettre à l'utilisateur. Contrairement à l'analyse statique, qui examine le code sans l'exécuter, la détonation déclenche activement le fichier, ouvre le document, exécute la macro ou lance le script, dans une machine virtuelle instrumentée capable de journaliser chaque action : création de processus enfant, connexions réseau sortantes vers des serveurs de commande et contrôle, modification de clés de registre, tentative de chiffrement de fichiers révélatrice d'un rançongiciel. Cette méthode détecte des techniques référencées MITRE ATT&CK telles que l'exécution via macro Office (T1204.002) ou l'exploitation de vulnérabilités clientes (T1203), y compris pour des menaces inconnues des bases de signatures antivirales, dites zero-day. La détonation présente un compromis entre profondeur d'analyse et latence : plus l'observation est longue, meilleure est la détection, mais plus la livraison du courriel est retardée. Des attaquants sophistiqués intègrent des techniques d'évasion, détection de l'environnement virtualisé, temporisation avant exécution malveillante, pour déjouer l'analyse. Les moteurs modernes combinent plusieurs hyperviseurs, systèmes d'exploitation et délais d'observation variables pour limiter ces contournements. La détonation de pièce jointe constitue une brique essentielle des passerelles de messagerie sécurisée modernes.