Import Address Table IAT

Définition

L'Import Address Table (IAT) est une structure fondamentale du format PE (Portable Executable) Windows qui contient les adresses des fonctions importées depuis des DLLs externes. En forensique et en analyse de malware, l'IAT est l'une des sources d'information les plus révélatrices sur les capacités d'un binaire : la liste des fonctions importées trahit directement ce que le programme est capable de faire. Techniquement, l'IAT est remplie par le Windows Loader lors du chargement du PE en mémoire. Le fichier PE sur disque contient des références symboliques aux fonctions importées (Import Directory Table, Import Name Table). Le Loader résout ces références en cherchant les DLLs correspondantes et en remplaçant les références par les adresses réelles des fonctions en mémoire, remplissant ainsi l'IAT. C'est pour cela que l'IAT d'un module varie selon la version de Windows et de ses DLLs. Forensiquement, l'analyse de l'IAT lors d'une analyse statique permet de profiler rapidement un malware. Les groupes de fonctions importées révèlent les capacités : Kernel32.dll (CreateProcess, WriteFile, VirtualAlloc — exécution et manipulation de fichiers), Advapi32.dll (RegSetValueEx, OpenSCManager — registre et services), Wininet.dll / WinHTTP (connexions HTTP), WS2_32.dll (sockets réseau), CryptDll / BCrypt (chiffrement). Un malware important exclusivement des fonctions de bas niveau (Ntdll.dll uniquement) est souvent un malware sophistiqué qui évite les hooks sur les APIs Win32. L'IAT Hooking est une technique de malware consistant à modifier les pointeurs dans l'IAT d'un processus pour rediriger les appels API vers du code malveillant. Forensiquement, les outils d'analyse comme PE-sieve et Process Hacker peuvent détecter des discordances dans l'IAT (pointeurs ne pointant pas vers le module attendu), révélant des hooks malveillants en mémoire. Pour les malwares packés ou obfusqués, l'IAT peut être délibérément vide ou minimale (le packer charge dynamiquement les fonctions via GetProcAddress et LoadLibrary), nécessitant l'analyse dynamique pour reconstruire l'IAT réelle en mémoire.