TLSH Hash
forensicsDéfinition
Trend Locality-Sensitive Hash : algorithme de hachage de similarité plus robuste que ssdeep pour identifier les variants de malwares avec une meilleure résistance au bruit.
Description
TLSH (Trend Micro Locality Sensitive Hash) est un algorithme de hachage de similarité plus robuste que ssdeep pour l'identification de variantes de malwares. Il calcule une empreinte hexadécimale de 70 caractères représentant la distribution statistique du contenu du fichier, avec une meilleure résistance aux modifications et au bruit.
Usage forensique
Comparaison de samples malwares : tlsh -f sample.exe -l reference.exe retourne un score de distance (0 = identique, < 30 = très similaire). Intégré dans VirusTotal et les plateformes CTI pour le clustering de familles de malwares.
Points clés
- Taille minimale de fichier : 50 octets — les très petits fichiers ne peuvent pas être hashés en TLSH
- Distance < 30 = variante probable de la même famille de malware (threshold recommandé)
- Implémentations disponibles : Python (
pip install tlsh), C++, Java pour l'intégration dans les pipelines
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis