Malware polymorphe
Un malware polymorphe modifie son propre code ou son emballage à chaque infection ou à chaque compilation, de sorte qu’aucun échantillon ne partage d’empreinte de fichier ni de signature statique avec un autre, alors que le comportement reste identique. Il déjoue les listes de blocage par empreinte et rejette la détection sur le comportement, les indicateurs réseau et l’infrastructure commune aux échantillons.
La détection par signature reconnaît des octets déjà vus. Le polymorphisme en est la réponse : une charge chiffrée avec une clé différente à chaque fois, un décrypteur qui mute, des instructions inutiles insérées au hasard, un empaqueteur qui produit un binaire neuf par téléchargement. Le programme fait exactement la même chose sur chaque machine ; il n’a simplement jamais la même apparence.
La conséquence pratique est qu’une empreinte de fichier identifie un échantillon, pas une famille. Un flux d’empreintes de la campagne d’hier attrape les binaires d’hier. La détection doit se déplacer vers ce qui ne change pas : le comportement une fois lancé, l’image mémoire après dépaquetage, et les domaines et adresses que l’échantillon contacte.
C’est là que le renseignement reprend pied. Mille empreintes uniques qui balisent toutes vers les mêmes trois domaines forment une seule campagne, et ces domaines sont ses indicateurs stables. La réputation d’empreinte garde un rôle, comme confirmation quand un échantillon est déjà connu, mais c’est la couche réseau qui identifie la famille polymorphe.
Exemple
Une campagne d’e-mails livre 4 000 pièces jointes en une journée : 4 000 SHA-256 distincts, aucun vu auparavant. Chaque échantillon, une fois ouvert, résout l’un de deux domaines enregistrés la semaine précédente. Les empreintes sont inutiles comme liste de blocage ; les deux domaines arrêtent la campagne.
Dans isMalicious
La recherche d’empreinte sur /threat-intel/file-hash dit si un échantillon est déjà connu des sources d’empreintes agrégées par isMalicious, et c’est le rapport sur le domaine ou l’adresse que l’échantillon contacte qui identifie réellement une famille polymorphe.
Questions fréquentes
Qu’est-ce que Malware polymorphe ?
Un malware polymorphe modifie son propre code ou son emballage à chaque infection ou à chaque compilation, de sorte qu’aucun échantillon ne partage d’empreinte de fichier ni de signature statique avec un autre, alors que le comportement reste identique. Il déjoue les listes de blocage par empreinte et rejette la détection sur le comportement, les indicateurs réseau et l’infrastructure commune aux échantillons.
Quel est le lien entre Malware polymorphe et Malware ?
Malware polymorphe et Malware sont deux notions clés du renseignement sur les menaces. Un malware est tout logiciel conçu pour nuire, exploiter ou obtenir un accès non autorisé à un système : virus, vers, chevaux de Troie, rançongiciels, logiciels espions, publiciels, rootkits, et d’autres encore. La détection repose sur les empreintes de fichiers, les signatures comportementales et les flux de renseignement.
Termes liés
Malware
Un malware est tout logiciel conçu pour nuire, exploiter ou obtenir un accès non autorisé à un système : virus, vers, chevaux de Troie, rançongiciels, logiciels espions, publiciels, rootkits, et d’autres encore. La détection repose sur les empreintes de fichiers, les signatures comportementales et les flux de renseignement.
Voleur d’informations
Un voleur d’informations est un malware conçu pour exfiltrer identifiants, cookies, sessions de navigateur et portefeuilles de cryptomonnaie depuis les postes infectés. Ses journaux sont une source majeure d’identifiants d’accès initial revendus sur les marchés criminels, souvent suivis d’un rançongiciel.
Cheval de Troie
Un cheval de Troie est un malware qui se fait passer pour un logiciel légitime afin d’être installé par l’utilisateur. À la différence d’un virus, il ne se réplique pas : il repose sur l’ingénierie sociale. Une fois installé, il peut ouvrir une porte dérobée, voler des identifiants ou déposer d’autres malwares.
Mettez ce renseignement au travail
Interrogez les indicateurs indexés — IP, domaines, URL et empreintes — en quelques secondes.