In-Memory Execution

Définition

L'exécution en mémoire (In-Memory Execution) désigne les techniques permettant d'exécuter du code malveillant directement en mémoire sans jamais écrire de fichier sur le disque, contournant les protections antivirus basées sur la détection de fichiers et les analyses de disque. Cette approche fileless est devenue la méthode standard des malwares sophistiqués et des payloads de pentest avancés. Les techniques d'exécution en mémoire incluent : l'injection de shellcode (allouer une région mémoire RW, y écrire le shellcode, rendre RX et exécuter via un thread ou un callback), le chargement réflectif de DLL (charger une DLL depuis un buffer en mémoire sans passer par LoadLibrary, en implémentant manuellement le résolveur de PE), l'exécution d'assemblies .NET en mémoire (Assembly.Load() depuis un byte array chiffré, puis Invoke des méthodes), et le shellcode en région .text (code qui s'auto-modifie et s'exécute dans la section code d'un processus légitime). Des techniques complémentaires incluent : le Process Hollowing (créer un processus suspendu d'un binaire légitime, remplacer son image mémoire par le payload, reprendre l'exécution), PE Injection (injecter un PE complet dans un processus distant et l'exécuter via un thread ou via la modification de l'EntryPoint), et le module stomping (overwrite un module DLL légitime déjà chargé en mémoire avec le payload). Le défi de l'exécution en mémoire est de maintenir la persistance : une fois l'ordinateur redémarré, le code en mémoire disparaît. Les stratégies de persistance fileless utilisent le registre Windows (stocker le payload chiffré dans une valeur de registre, exécuter via PowerShell/WScript au démarrage), WMI subscriptions (déclencher l'exécution in-memory via WMI), et les macros Office (stocker dans les propriétés de document et exécuter via des événements Office).