Export Address Table EAT

Définition

L'Export Address Table (EAT) est la table des fonctions exportées d'un module Windows (DLL). Symétrique à l'Import Address Table (IAT) qui liste les fonctions importées, l'EAT liste les fonctions qu'une DLL expose aux autres modules. Dans le contexte forensique et d'analyse de malwares, l'EAT est pertinente pour détecter les hooks malveillants sur les DLLs systèmes et analyser les DLLs malveillantes conçues pour remplacer ou imiter des DLLs légitimes. La structure de l'EAT dans le format PE est localisée dans l'entrée EXPORT_TABLE du répertoire des données PE (à l'index 0 du tableau DataDirectory). Elle contient : la table des adresses d'exportation (les RVA — Relative Virtual Addresses — des fonctions exportées), la table des noms d'exportation (les noms ASCII des fonctions), et la table des ordinaux (les numéros ordinaux des exports). Chaque fonction exportée peut être accessible soit par son nom, soit directement par son ordinal. Forensiquement, l'EAT est importante pour plusieurs raisons. Les hooks malveillants sur les DLLs systèmes peuvent modifier l'EAT en mémoire (EAT hooking) pour rediriger les appels de fonctions vers du code malveillant. Ceci est une technique d'API hooking moins courante que l'IAT hooking ou le inline hooking (patching de la première instruction de la fonction), mais existante. La détection consiste à comparer l'EAT en mémoire avec l'EAT du fichier DLL sur disque — toute discordance indique un hook. Pour les DLLs malveillantes (DLL sideloading), l'analyse de l'EAT révèle si une DLL malveillante imite une DLL légitime en exportant les mêmes fonctions sous les mêmes noms, permettant de remplacer la DLL légitime sans que les applications qui l'utilisent ne détectent le changement. La comparaison de l'EAT d'une DLL suspecte avec l'EAT de la DLL légitime correspondante révèle les fonctions manquantes ou ajoutées.