PE Analysis

Définition

Le format PE (Portable Executable) est le format de fichier exécutable standard sous Windows (.exe, .dll, .sys, .ocx). Sa connaissance approfondie est indispensable pour l'analyse forensique de malwares Windows, car la quasi-totalité des malwares Windows sont des fichiers PE ou se chargent sous forme de PE en mémoire. La structure d'un fichier PE comprend plusieurs composants essentiels. L'en-tête DOS (MZ header) commence par les octets 4D 5A ('MZ'), suivi de l'offset vers l'en-tête PE. L'en-tête PE contient : la signature ('PE\0\0'), l'en-tête COFF (machine, nombre de sections, timestamp de compilation), l'en-tête optionnel (ImageBase, AddressOfEntryPoint, taille des entêtes), et les Data Directories pointant vers les tables importantes (IAT, EAT, Resources, TLS callbacks, etc.). Les sections PE sont des segments de données avec des noms conventionnels (.text pour le code, .data pour les données initialisées, .rdata pour les données en lecture seule, .rsrc pour les ressources, .reloc pour les relocations). Des sections avec des noms inhabituels, une entropie élevée (chiffrement/compression), ou des permissions inhabituelles (section de code writable) sont des indicateurs de malware ou de packer. Le timestamp de compilation dans l'en-tête PE est un artefact forensique précieux mais falsifiable. Les malwares sophistiqués falsifient souvent ce timestamp (timestomping PE) pour paraître légitimes. Un timestamp dans le futur ou antérieur à l'existence du système d'exploitation cible est un indicateur évident de falsification. Les timestamps valides peuvent aider à attribuer le malware à des groupes connus dont les patterns de développement sont documentés. L'analyse des Rich headers (présents dans les PE compilés avec des outils Microsoft) révèle des informations sur les bibliothèques et compilateurs utilisés. Les Rich headers ont été corrélés avec des groupes APT spécifiques dans des recherches de threat intelligence, permettant une attribution par signature de développement.