PEiD Packer Identification

Définition

PEiD (PE IDentifier) est un outil classique de la forensique de malwares permettant d'identifier les packers, compilateurs, et crypters utilisés pour protéger ou obfusquer un exécutable Windows (fichier PE — Portable Executable). Bien que PEiD lui-même ne soit plus activement maintenu, le concept d'identification de packer reste central dans l'analyse de malwares, et de nombreux successeurs modernes l'ont remplacé et amélioré. Un packer compresse ou chiffre le code original d'un exécutable et crée un nouveau PE contenant un stub de décompression qui, à l'exécution, restaure le code original en mémoire avant de l'exécuter. L'identification du packer utilisé est importante car elle indique la méthode d'unpacking à appliquer pour analyser le code original, et peut fournir des informations sur la sophistication et les capacités de l'acteur malveillant (packers custom vs packers publics). PEiD utilise une base de données de signatures (userdb.txt) contenant les patterns de bytes caractéristiques de chaque packer/compilateur, comparés aux premiers octets de chaque section du PE. Il identifie des centaines de packers (UPX, MPRESS, Themida, VMProtect, ASPack, PECompact) et compilateurs (GCC, MSVC, Borland, Delphi) avec leur version quand possible. La précision dépend de la base de signatures disponible. Die (Detect-It-Easy) est le successeur modern de PEiD : open source, cross-platform (Linux, macOS, Windows), avec une base de signatures étendue et des scripts de détection en JavaScript personnalisables. DiE analyse également des formats non-PE (ELF Linux, Mach-O macOS, archives, scripts). C'est l'outil recommandé pour une identification de packer moderne. ExeinfoPE et TriD sont des alternatives avec leurs propres bases de signatures. Pour les malwares avec des packers custom (packers développés spécifiquement pour un malware, non connus dans les bases publiques), l'analyse manuelle dans un débogueur reste nécessaire. Les patterns caractéristiques des packers custom (PUSHAD/POPAD, allocation mémoire suivie d'un JMP vers de la mémoire allouée) guident l'analyse même sans signature.