Packer Detection Malware

Définition

Un packer est un outil qui compresse, chiffre, ou obfusque un fichier exécutable pour masquer son contenu original et contourner les détections antivirus. La détection des packers est une étape clé de l'analyse forensique de malwares car elle détermine si l'analyse statique directe est possible ou si un processus d'unpackaging est nécessaire. Les packers fonctionnent en encapsulant le code original dans un 'stub' de décompression : lors de l'exécution, le stub décompresse le payload original en mémoire et lui transfère le contrôle. Du point de vue de l'analyse forensique, le binaire sur disque ne contient pas le code malveillant réel — celui-ci n'existe qu'en mémoire pendant l'exécution. C'est pour cela qu'un malware packé peut avoir un score de détection nul sur VirusTotal tout en étant très dangereux. UPX (Ultimate Packer for eXecutables) est le packer le plus répandu, open source, et facilement détectable par sa signature dans les en-têtes de sections PE ('.UPX0', '.UPX1'). L'unpack est trivial : 'upx -d malware.exe'. Les packers commerciaux ou custom (Themida, VMProtect, Obsidium, custom XOR) sont beaucoup plus complexes à analyser et nécessitent une analyse dynamique. Les outils de détection de packers incluent Detect-It-Easy (DIE) qui identifie le compilateur, le linker, et le packer d'un binaire avec une base de signatures constamment mise à jour. PEiD est l'outil historique avec plus de 600 signatures. YARA rules spécifiques aux packers permettent une détection automatisée à grande échelle. L'analyse d'entropie est une approche complémentaire : les sections packées ont une entropie proche de 8 (le maximum, caractéristique du chiffrement ou de la compression) contrairement aux sections de code non packées (entropie ~6-7). Pour les malwares utilisant des protections anti-analyse (VMProtect, Themida), des techniques de virtualisation du code (remplacement des instructions originales par des bytecodes d'une machine virtuelle propriétaire) rendent le décompilage et le désassemblage extrêmement difficiles, nécessitant des outils spécialisés ou de l'émulation.