TLSH Hash

Définition

TLSH, pour Trend Micro Locality-Sensitive Hash, est un algorithme de hachage de similarité (fuzzy hashing) publié par Trend Micro, conçu pour mesurer le degré de ressemblance entre deux fichiers plutôt que produire une simple empreinte binaire tout-ou-rien comme SHA-256. L'algorithme découpe le contenu du fichier en fenêtres glissantes, en extrait des statistiques structurelles (fréquence de trigrammes de bytes) qu'il compile dans un vecteur de hachage de longueur fixe, puis compare deux hachages TLSH par une distance numérique : plus la distance est faible, plus les fichiers sont structurellement proches, ce qui permet d'identifier des variants d'un même malware légèrement modifiés (packing différent, ajout de code mort, recompilation) sans nécessiter de signature exacte. TLSH se positionne comme une alternative plus robuste à ssdeep, l'algorithme de fuzzy hashing historique basé sur le Context Triggered Piecewise Hashing : il tolère mieux les modifications localisées importantes et le bruit statistique, notamment sur des fichiers volumineux, là où ssdeep perd rapidement en fiabilité. Utilisé conjointement par les plateformes de threat intelligence (VirusTotal, MISP) et les moteurs de classification de malware, TLSH permet de regrouper automatiquement des échantillons appartenant à une même campagne ou famille malveillante, accélérant le triage lors d'analyses de grands volumes d'échantillons.