Static Malware Analysis

Définition

L'analyse statique de malware est l'examen d'un fichier malveillant sans l'exécuter, en analysant son code, sa structure, et ses métadonnées. C'est la première étape d'une analyse de malware : elle est sûre (pas de risque d'infection), rapide, et peut révéler de nombreuses informations sur les capacités et l'origine d'un malware avant même de compromettre un environnement sandbox. Les premières étapes de l'analyse statique commencent par l'analyse des métadonnées du fichier. Les commandes 'file' et 'strings' (ou FLOSS pour les chaînes obfusquées) fournissent des informations de base : type de fichier, architecture cible, chaînes de caractères ASCII/Unicode. Les chaînes de caractères peuvent révéler des URLs, adresses IP, noms de domaine, chemins de fichiers, messages d'erreur, et clés de registre qui trahissent les fonctionnalités du malware. L'analyse de la structure PE (Portable Executable) est centrale pour les malwares Windows. Les outils PEStudio, Detect-It-Easy (DIE), ou PE-Bear analysent les sections PE (code, data, ressources), les imports (fonctions Windows appelées, révélant les capacités), les exports, les ressources (peuvent contenir des payloads cachés), et les overlays (données après la fin du PE, souvent des archives ou des configurations). Un ratio d'entropie élevé dans les sections de code indique une compression ou un chiffrement (packer). La table d'imports (IAT - Import Address Table) est particulièrement révélatrice. Les fonctions importées comme VirtualAlloc, WriteProcessMemory, CreateRemoteThread indiquent des capacités d'injection ; CreateService, RegSetValueEx indiquent une persistance ; WinHttpOpen, InternetOpenUrl indiquent des communications réseau ; CryptEncrypt indique du chiffrement. La combinaison de ces imports oriente l'analyse vers les fonctionnalités malveillantes prioritaires. Les outils de décompilation/désassemblage (IDA Pro, Ghidra, Binary Ninja) permettent d'analyser le code assembleur ou de le décompiler en pseudo-code C pour comprendre la logique exacte du malware. Cette phase est la plus approfondie et peut nécessiter des jours de travail pour un malware complexe.