Analyse statique vs dynamique : malware et reverse 2025

Pipeline analyse statique malware — étapes
───────────────────────────────────────────
 
1. IDENTIFICATION
   ├─ file sample.exe  → PE64, x86_64, console
   ├─ sha256sum        → hash pour VirusTotal / MISP
   ├─ DIE (Detect It Easy) / PE-bear → packer detection
   └─ PEframe, capa    → capabilities + anomalies
 
2. EXTRACTION SURFACE
   ├─ strings / FLOSS     → chaînes imprimables + unicode + stacked
   ├─ CFF Explorer        → PE headers, imports, exports, resources
   ├─ Sigcheck            → signatures digitales Microsoft
   └─ pescan              → pattern matching anomalies
 
3. ENTROPY & SECTIONS
   ├─ bintropy            → entropy par section
   │                         > 7.0 = probablement chiffré/packé
   │                         < 5.0 = normal compilé
   └─ pestudio            → score de risque par section
 
4. DÉSASSEMBLAGE
   ├─ Ghidra              → GUI + décompilateur multi-arch
   ├─ IDA Pro             → référence industrie Hex-Rays
   ├─ Binary Ninja        → IL puissant, scripting moderne
   └─ Radare2 / Rizin     → CLI scriptable, open-source
 
5. DÉCOMPILATION
   ├─ Ghidra decompiler   → pseudo-C multi-arch gratuit
   ├─ Hex-Rays (IDA)      → pseudo-C référence, commercial
   ├─ Binary Ninja HLIL   → intermediate high-level
   └─ RetDec (Avast)      → open-source, moins mature
 
6. CLASSIFICATION
   ├─ YARA rules          → signatures pattern matching
   ├─ capa                → high-level capabilities
   ├─ MAEC (Malpedia)     → taxonomie malware
   └─ Intezer Analyze     → code genetics (commercial)

# Installation FLOSS
pip install flare-floss
 
# Extraction strings avec decoding
floss sample.exe > strings_output.txt
 
# Output typique :
# ASCII strings (4+ chars):
#   CreateProcessW
#   kernel32.dll
#   http://attacker-c2-domain.tld/gate.php
#   Mozilla/5.0 (Windows NT 10.0; Win64; x64)
#
# Unicode strings:
#   C:\Users\Public\update.exe
#   RegSvcMutex_2024
#
# Stack strings (decoded):
#   Software\Microsoft\Windows\CurrentVersion\Run
#   powershell -nop -w hidden -EncodedCommand ...

rule APT_SampleFamily_Loader_2024 {
    meta:
        author = "malware analyst"
        date = "2026-04-24"
        description = "Loader family X observed Q1 2024"
        reference = "https://example-report.tld/analysis"
        hash1 = "e19ccf75ee54e06b06a5907af13cef42a8b2cd1234567890abcdef1234567890"
 
    strings:
        // String unique à la famille
        $s1 = "MzNLoaderMutex_"
        $s2 = "Software\\Microsoft\\Windows\\CurrentVersion\\MzNLoader"
        $s3 = { 68 65 6C 6C 6F 5F 77 6F 72 6C 64 5F 73 74 61 67 65 31 }  // "hello_world_stage1" hex
 
        // Import DLL suspect
        $api1 = "VirtualAllocEx"
        $api2 = "WriteProcessMemory"
        $api3 = "CreateRemoteThread"
 
        // Payload decoder signature
        $decoder = { 48 8B ?? ?? 48 83 ?? ?? 48 89 ?? ?? E8 ?? ?? ?? ?? }
 
    condition:
        uint16(0) == 0x5A4D and          // DOS MZ header
        filesize < 5MB and
        all of ($s*) and
        2 of ($api*) and
        $decoder
}

Architecture sandbox malware typique
─────────────────────────────────────
 
Host physique (analyst workstation ou serveur dédié)
  │
  ├─ Hyperviseur (VMware / VirtualBox / QEMU-KVM)
  │   │
  │   └─ Guest VM vulnérable (Windows 10 typique)
  │       │  snapshot clean pre-infection
  │       │
  │       ├─ Agent monitoring
  │       │   ├─ Sysmon v15+ avec config SwiftOnSecurity
  │       │   ├─ Procmon (Sysinternals)
  │       │   ├─ API Monitor / Wireshark
  │       │   └─ Agent sandbox (Cuckoo, CAPE, Joe)
  │       │
  │       └─ Malware sample exécuté
  │
  ├─ Network isolation
  │   ├─ Option 1 : réseau entièrement isolé, INetSim fake C2
  │   ├─ Option 2 : VPN sortant via TOR / serveur dédié monitoré
  │   └─ Option 3 : FakeNet-NG pour intercepter et répondre aux requêtes
  │
  └─ Collecte logs
      ├─ PCAP réseau
      ├─ Events Windows (Sysmon, Security, Application)
      ├─ Changes registry / filesystem
      └─ Dumps mémoire périodiques (Volatility analyzable)

Workflow ANY.RUN typique (3-10 minutes)
────────────────────────────────────────
 
1. Upload sample ou URL
2. Choisir OS target (Win 10, Win 7, Linux Ubuntu)
3. Démarrer analyse → VM live visible en streaming
4. Interagir si nécessaire (clic sur fichier, saisie credentials leurres)
5. Laisser tourner 5-10 min
6. Examiner résultats :
   ├─ Processus lancés avec CLI args
   ├─ Fichiers droppés (téléchargeable)
   ├─ Connexions réseau avec géoloc
   ├─ MITRE ATT&CK techniques taggées
   ├─ Indicators of compromise auto-extraits
   ├─ Video capture VM
   └─ Rapport exportable JSON/STIX

Stack statique malware analyst 2025
────────────────────────────────────
 
Identification / triage
  ├─ file + sha256sum                      [Linux natif]
  ├─ DIE (Detect It Easy) 3.x              [OSS GitHub horsicq]
  ├─ PE-bear                               [OSS hasherezade]
  ├─ CFF Explorer                          [gratuit Daniel Pistelli]
  └─ VirusTotal Intelligence                [commercial Google]
 
Extraction
  ├─ strings (GNU binutils)
  ├─ FLOSS (Mandiant FLARE)                [OSS, stackstrings decoder]
  ├─ pestudio Pro                          [commercial Marc Ochsenmeier]
  └─ capa (Mandiant FLARE)                 [OSS, capabilities ATT&CK]
 
Désassemblage / décompilation
  ├─ Ghidra 11.x                           [NSA OSS, référence 2025]
  ├─ IDA Pro 9 + Hex-Rays                  [commercial ~7000 $]
  ├─ Binary Ninja 4                        [commercial ~500-2000 $]
  └─ Radare2/Rizin + Cutter                [OSS, CLI + GUI]
 
Classification
  ├─ YARA 4.x + LOKI/Thor (Nextron)        [OSS + commercial]
  ├─ DIE signatures
  ├─ Intezer Analyze                       [commercial genetics]
  └─ Malpedia / MAEC                        [base taxonomique]

Stack dynamique malware analyst 2025
─────────────────────────────────────
 
Debugger
  ├─ x64dbg + plugins (Scylla, HyperDbg)   [OSS mrexodia + community]
  ├─ WinDbg Preview                         [Microsoft gratuit]
  ├─ GDB + pwndbg / peda                    [OSS]
  └─ Frida 16+                              [OSS]
 
Sandbox automated
  ├─ CAPE Sandbox (fork Cuckoo)             [OSS, self-hosted]
  ├─ ANY.RUN                                [commercial SaaS ~299 $/mois]
  ├─ Joe Sandbox                            [commercial ~10-50 k$/an]
  ├─ Falcon Sandbox / Hybrid Analysis       [gratuit public]
  └─ VMRay Analyzer                         [commercial enterprise]
 
Network
  ├─ Wireshark 4.x                          [OSS]
  ├─ tcpdump                                 [OSS]
  ├─ FakeNet-NG (Mandiant)                  [OSS fake services]
  ├─ INetSim                                 [OSS]
  └─ mitmproxy                              [OSS Python]
 
Memory forensics
  ├─ Volatility 3                            [OSS Python]
  ├─ Rekall (legacy Google)                 [OSS]
  └─ MemProcFS (Ulf Frisk)                  [OSS filesystem view]
 
Monitoring runtime
  ├─ Sysmon v15+ (Sysinternals)             [Microsoft gratuit]
  ├─ Procmon                                 [Sysinternals]
  ├─ Process Hacker / System Informer       [OSS]
  └─ API Monitor                             [gratuit rohitab.com]

# Hash + lookup VirusTotal
sha256sum sample.exe
# e19ccf75ee54e06b06a5907af13cef42a8b2cd1234567890abcdef1234567890
 
curl -s -H "x-apikey: $VT_API_KEY" \
    "https://www.virustotal.com/api/v3/files/e19ccf75ee54e06b06a5907af13cef42a8b2cd1234567890abcdef1234567890" \
    | jq '.data.attributes | {
        meaningful_name,
        type_description,
        first_submission_date,
        last_analysis_stats,
        sandbox_verdicts
    }'
 
# Format identification
file sample.exe
# sample.exe: PE32+ executable (GUI) x86-64, for MS Windows
 
# Packer detection
die sample.exe
# Protector: VMProtect (3.2+) [detected]

# Strings avec FLOSS
floss sample.exe --output-format json > strings.json
 
# Capabilities
capa sample.exe --rules-dir capa-rules
 
# Imports PE via pefile Python
python3 -c "
import pefile
pe = pefile.PE('sample.exe')
for entry in pe.DIRECTORY_ENTRY_IMPORT:
    print(f'[{entry.dll.decode()}]')
    for imp in entry.imports:
        print(f'  {imp.name.decode() if imp.name else hex(imp.ordinal)}')
"

Rapport d'analyse malware — structure standard
───────────────────────────────────────────────
 
1. Executive Summary (1-2 pages)
   Résumé pour direction / client
 
2. Sample metadata
   ├─ SHA256, MD5, SSDEEP
   ├─ File size, compile timestamp
   ├─ PDB path, language/compiler
   └─ First seen VT, samples similaires
 
3. IoCs (Indicators of Compromise)
   ├─ Hashes (SHA256, MD5)
   ├─ Network (IPs, domains, URLs, user-agents)
   ├─ Host (mutex, files created, registry keys)
   └─ Strings caractéristiques
 
4. TTPs MITRE ATT&CK
   Tableau techniques + sous-techniques observées
 
5. Analyse technique
   ├─ Flow global
   ├─ Crypto identifiée + clés si extractibles
   ├─ C2 protocol reverse engineered
   ├─ Persistence mechanisms
   └─ Anti-analysis observé
 
6. Règles de détection
   ├─ YARA rule
   ├─ Sigma rule
   └─ Suricata / Snort rule si réseau
 
7. Attribution (si possible avec haute confiance)
   Threat actor suspected, avec justification preuves
 
8. Références
   Samples similaires, rapports publics, papers

# Scan d'un répertoire de samples avec une règle
yara -r rules.yar /path/to/samples/
 
# Scan production via LOKI (Nextron, OSS)
python loki.py --path C:\ --rules-folder custom-rules/
 
# Scan enterprise via Thor (Nextron, commercial)
# Déployable via EDR agent, multi-thread, enriched

# Soumission automatisée à CAPE Sandbox self-hosted
import requests
 
CAPE_URL = "https://cape.example.com/apiv2"
API_KEY = "your_api_key_here_abc123def456"
 
files = {"file": open("sample.exe", "rb")}
data = {"package": "exe", "platform": "windows10x64", "timeout": 300}
headers = {"Authorization": f"Token {API_KEY}"}
 
response = requests.post(
    f"{CAPE_URL}/tasks/create/file/",
    files=files,
    data=data,
    headers=headers,
)
task_id = response.json()["data"]["task_ids"][0]
 
# Poll status jusqu'à complétion puis récupération rapport JSON

Pipeline automation analyse malware enterprise 2025
────────────────────────────────────────────────────
 
Email attachment / download → Detection EDR (CrowdStrike, SentinelOne)
                                    │
                                    ▼
                           Extraction automatique sample
                                    │
                                    ▼
                        Soumission parallèle :
                        ├─ VirusTotal API
                        ├─ CAPE self-hosted
                        └─ ANY.RUN (paid slots)
                                    │
                                    ▼
                        YARA scan avec règles internes
                                    │
                                    ▼
                        Extraction IoCs automatique
                                    │
                                    ▼
                        Enrichissement MISP / OpenCTI
                                    │
                                    ▼
                        Auto-publication indicators
                        vers SIEM / EDR / firewall
                                    │
                                    ▼
                        Alerte équipe CTI si high-confidence
                        malware family identified