Polymorphic Code

Définition

Le code polymorphique est du code malveillant qui se transforme automatiquement à chaque exécution ou propagation tout en préservant sa fonctionnalité, générant ainsi des signatures binaires différentes à chaque instance. Introduit dans les virus des années 1990 (Dark Avenger's MtE - Mutation Engine), le polymorphisme est une technique fondamentale d'évasion antivirus. Le mécanisme de base : le malware est composé d'un payload chiffré et d'un moteur de mutation (decryptor). À chaque réplication ou génération de nouvelle instance, le moteur de mutation génère un nouveau décrypteur avec une clé et un algorithme de chiffrement différents, chiffre le payload avec ces paramètres, et produit un nouveau binaire. Le résultat est fonctionnellement identique mais binaiement différent, cassant les signatures AV basées sur des patterns fixes. Les techniques de mutation incluent : la substitution de registres (remplacer EAX par EBX dans le decryptor sans changer la logique), l'insertion de code inutile (NOP sleds, instructions sans effet sur le résultat), la réordonnancement d'instructions indépendantes, la substitution d'instructions (ADD EAX,5 → SUB EAX,-5 → INC EAX×5), et la variation de la clé de chiffrement et de l'algorithme (XOR simple, ROL, ADD avec des constantes variables). Le code métamorphique va plus loin que le polymorphique : au lieu de chiffrer le payload et de le décrypter à l'exécution, il réécrit entièrement sa propre structure logique à chaque génération. Les métamorphes n'ont pas de 'decryptor constant' qui pourrait être signé, rendant la détection par signature encore plus difficile. Le virus W32.Simile est un exemple de métamorphe sophistiqué. Dans le contexte offensif moderne, des outils comme Veil-Evasion, Phantom-Evasion, et des frameworks de génération de shellcodes custom (avec XOR à clé aléatoire, chiffrement AES à clé générée) implémentent des formes simples de polymorphisme pour les payloads de pentest.