Malware Analysis Dynamique (Analyse comportementale de malware)

Définition

L'analyse dynamique de malware consiste à exécuter un échantillon malveillant dans un environnement contrôlé et isolé pour observer son comportement réel : modifications du système de fichiers, clés de registre créées, connexions réseau établies, processus lancés, et API Windows appelées. Cette approche complète l'analyse statique (désassemblage sans exécution) en révélant les comportements obfusqués ou chiffrés qui ne seraient pas visibles à l'analyse de code. Les environnements sandboxés dédiés incluent Cuckoo Sandbox (open-source, auto-hébergé), ANY.RUN (interactif en ligne), Joe Sandbox, Hybrid Analysis ou VirusTotal (pour les IOCs). L'instrumentation du système pendant l'exécution utilise des outils comme Process Monitor (ProcMon), Process Hacker, Wireshark pour le réseau, et API Monitor pour les appels système. Les malwares modernes incluent des techniques anti-sandbox : détection de la virtualisation (VMware artifacts, timing), hibernation avant comportement malveillant, ou activation conditionnelle sur des critères environnementaux. L'analyse dans des environnements physiques réels (bare metal) ou avec de la déception (decoy artifacts) contourne ces protections.