Import Obfuscation

Définition

L'obfuscation d'imports désigne les techniques permettant à un binaire malveillant de résoudre et d'utiliser des fonctions d'API Windows sans les déclarer dans sa table d'imports PE (Import Address Table - IAT), rendant l'analyse statique moins révélatrice. La table d'imports d'un binaire est une source d'information majeure pour les analyseurs de malwares — des imports comme VirtualAlloc, WriteProcessMemory, ou CreateRemoteThread signalent immédiatement un comportement potentiellement malveillant. Les techniques d'obfuscation d'imports incluent : la résolution dynamique (utiliser GetProcAddress(GetModuleHandle('ntdll'), 'NtAllocateVirtualMemory') au lieu d'un import statique — la chaîne de nom peut être obfusquée), la résolution par hash (calculer un hash du nom de chaque fonction exportée et le comparer à des hashes hardcodés — même technique que dans le hash-based shellcode), le custom PE loader (ne pas utiliser le loader Windows pour charger les DLLs, implémenter un loader custom qui résout les exports manuellement), et les forwarded exports (utiliser des chaînes de forwarding d'exports pour atteindre la fonction cible via des indirections). Des outils comme Donut (pour convertir des .NET en shellcode) et des frameworks de C2 implémentent des techniques d'obfuscation d'imports avancées. Cobalt Strike avec des Malleable C2 Profiles peut configurer le Beacon pour minimiser ses imports visibles. Un binaire avec zéro imports ou uniquement des imports dans des DLLs légitimes et innocentes (kernel32.dll pour GetProcAddress/GetModuleHandle uniquement) est suspect mais difficile à analyser statiquement sans l'exécuter ou l'émuler. Les analyseurs dynamiques et les sandboxes contournent cette technique en observant les appels d'API à l'exécution.