Masquerading

Définition

Le masquerading est une technique d'évasion dans laquelle les malwares ou les outils offensifs se font passer pour des fichiers ou processus légitimes en copiant leur nom, leur icône, leurs métadonnées de version, ou leurs propriétés apparentes. L'objectif est de réduire la suspicion lors d'analyses ou d'audits de sécurité en rendant le code malveillant visuellement indistinguable de fichiers système ou d'applications légitimes. Les formes de masquerading incluent : renommer le binaire malveillant comme un outil Windows légitime (svchost.exe, explorer.exe, taskhost.exe placé dans un répertoire non système comme %APPDATA% ou %TEMP%), copier les métadonnées de version PE (VersionInfo, Company, FileDescription) depuis un binaire légitime vers le binaire malveillant, ajouter une icône identique à un logiciel légitime, utiliser des noms de processus légitimes pour les injections (injecter dans explorer.exe fait apparaître le code malveillant comme faisant partie d'explorer.exe), et utiliser des extensions trompeuses (document_urgent.pdf.exe, invoice.docx.exe). Des outils comme ResourceHacker permettent de modifier les ressources PE (icônes, métadonnées de version) d'un exécutable. Des scripts copient automatiquement les ressources d'un binaire légitime vers le payload malveillant. Cette technique est souvent combinée avec d'autres formes d'obfuscation (signature numérique volée, code signing avec des certificats achetés). Le masquerading est classé T1036 dans MITRE ATT&CK et est utilisé dans presque toutes les campagnes malveillantes documentées, des ransomwares aux APT sophistiqués. La simplicité de la technique et son efficacité contre les humains (analystes qui font confiance aux noms de processus) la rendent universellement adoptée.