String Obfuscation

Définition

L'obfuscation de chaînes (String Obfuscation) est une technique d'évasion qui encode, chiffre, ou transforme les chaînes de caractères sensibles dans un binaire malveillant pour éviter leur détection par les analyses statiques des antivirus et des outils de reverse engineering. Les chaînes révélatrices comme les URLs C2, les noms de fonctions API Windows, les messages d'erreur, et les paths de fichiers sont les principales cibles. Les techniques de base incluent : le XOR encoding (XOR chaque caractère avec une clé fixe ou dérivée de la position), le ROT13 et ses variantes (décalage de l'alphabet), la concaténation (construire la chaîne par assemblage de parties à l'exécution), le Base64 avec décodage runtime, et le chiffrement AES/RC4 avec une clé hardcodée ou dérivée. Ces techniques empêchent les analyseurs de trouver les IOC (URLs de C2, noms de mutex) directement dans le binaire. Des approches plus sophistiquées incluent : le stack-based string construction (construire la chaîne caractère par caractère sur la pile plutôt que de la stocker dans la section .data), l'utilisation de constantes numériques assemblées à l'exécution, le hashing des noms de fonctions API (calculer le hash CRC32/djb2 du nom de la fonction et le comparer aux exports de ntdll au lieu d'importer la fonction par nom), et l'obfuscation du code d'obfuscation lui-même (plusieurs couches de transformation). Des outils comme ConfuserEx (pour .NET), obfuscator-llvm (pour le code C/C++ compilé), et des scripts Python custom automatisent l'obfuscation de chaînes dans les projets de développement de malwares ou de payloads offensifs. Des plugins IDA Pro et Ghidra permettent l'analyse et le déobfuscation des chaînes obfusquées lors du reverse engineering.