Strings Extraction Malware

Définition

L'extraction et l'analyse des chaînes de caractères (strings) d'un binaire malveillant est l'une des premières et des plus productives étapes de l'analyse statique. Les chaînes de caractères imprimables présentes dans un exécutable révèlent souvent des informations critiques : URLs et domaines C2, adresses IP, chemins de fichiers, messages d'erreur, clés de registre, noms de fonctions API, et parfois même des commentaires de code laissés par le développeur. L'outil 'strings' (disponible sur Linux et dans Sysinternals Suite pour Windows) extrait toutes les séquences de caractères ASCII imprimables d'une longueur minimale (par défaut 4 caractères). Sur Linux : 'strings malware.exe' ou 'strings -e l malware.exe' pour les chaînes Unicode (UTF-16LE). La commande strings -a scanne tout le fichier y compris les sections de données. Le principal défi de l'extraction de strings est l'obfuscation. Les malwares modernes obfusquent leurs chaînes de caractères sensibles en les chiffrant (XOR, RC4, AES), en les décomposant, ou en les construisant dynamiquement à l'exécution. Ces chaînes ne sont pas visibles dans une analyse statique standard. FLOSS (FireEye Labs Obfuscated String Solver, aujourd'hui partie de FLARE-VM) résout ce problème en émulant statiquement l'exécution du binaire pour découvrir les chaînes désobfusquées. FLOSS utilise l'émulation d'instructions (via Vivisect) pour identifier et exécuter les fonctions de désobfuscation courantes et extraire les chaînes en clair qu'elles produisent. Une technique avancée pour analyser les chaînes dans un contexte de malware inconnu consiste à contextualiser chaque chaîne : une URL seule ne signifie pas grand chose, mais une URL accompagnée d'une UserAgent string, d'un chemin de fichier local, et d'une clé de registre définit un profil de comportement complet. CyberChef (GCHQ) permet d'appliquer des transformations en chaîne pour décoder des strings obfusquées (base64, XOR, etc.).