Rétro-Ingénierie de Malwares

La rétro-ingénierie de malwares consiste à désassembler et analyser un logiciel malveillant pour comprendre précisément son fonctionnement. Cela permet d'extraire des indicateurs de compromission (IOC) pour bloquer la menace, de comprendre les données volées, d'identifier l'attaquant, de créer des règles de détection et parfois de développer des outils de déchiffrement pour les ransomwares.

Cela dépend du ransomware. En analysant l'algorithme de chiffrement, nous recherchons des failles d'implémentation qui permettraient un déchiffrement sans clé. Certains ransomwares utilisent des générateurs de nombres aléatoires faibles, stockent la clé en mémoire, ou ont des bugs dans leur implémentation crypto. Ce n'est pas garanti, mais nous avons déjà réussi à déchiffrer des données dans plusieurs cas.

Comptez 48 heures pour un échantillon standard (ransomware connu, RAT courant). Un malware custom (APT) ou fortement obfusqué (VMProtect, Themida) peut nécessiter 3 à 5 jours. Les premiers IOC (hash, C2, règles YARA de base) sont livrés en 2 heures pour permettre un blocage immédiat.

Jamais sans votre autorisation explicite. Soumettre un échantillon à VirusTotal le rend accessible à tous les abonnés du service — y compris potentiellement l'attaquant, qui saurait alors que son malware a été détecté. Nos analyses sont réalisées en sandbox privée air-gapped. Nous ne consultons VT que pour le hash, jamais pour l'upload du binaire.

Dans de nombreux cas, oui. L'attribution repose sur l'analyse des TTPs (Tactiques, Techniques et Procédures) mappées sur le framework MITRE ATT&CK, les similarités de code avec des familles connues, l'infrastructure C2 et les artefacts de compilation (langue, fuseau horaire, chemins de debug). L'attribution n'est jamais certaine à 100%, mais nous fournissons un niveau de confiance et les éléments factuels qui l'étayent.

Oui. Bien que notre spécialité soit Windows (de par notre passé Microsoft), nous analysons également les malwares Linux (ELF), les APK malveillants Android et les malwares macOS (Mach-O). Nous couvrons les architectures x86, x64, ARM et MIPS, ce qui inclut les malwares ciblant les appareils IoT et les routeurs.