Windows et son API offrent de nombreuses fonctionnalités aux développeurs en général et, dans le cadre de cet article, aux développeurs de malwares en particulier. L'usage malveillant des fonctionnalités de l'OS Windows est bien établi et le présent article n'est qu'une introduction par l'exemple d'une des nombreuses mises à profit de l'API Windows pour réaliser ou masquer une activité malveillante.La technique de « remplacement de processus » n'est pas nouvelle, mais reste efficace pour masquer la présence d'un malware à un utilisateur non averti.L'idée de base du remplacement de processus est de démarrer un programme légitime et de remplacer son code en mémoire par le code malveillant. Cette technique est décrite (entre autres) dans le livre Practical Malware Analysis (practicalmalwareanalysis.com).Cet article a pour objectif de (re)présenter cette technique, de montrer comment il est possible de détecter des traces d'une telle activité et par ce biais de donner quelques informations de base sur le fonctionnement des binaires et processus Windows.
1. Windows, masque-moi un process
1.1 Théorie
Tout d'abord, un peu de théorie Windows (c'est l'objet de ce dossier).
Un processus est un objet qui fournit toutes les ressources nécessaires à l’exécution d’un programme. Un processus comprend entre autres : un espace mémoire, du code exécutable, des « handles » sur des objets système, un contexte de sécurité, un identifiant unique (PID), une priorité et au moins un « thread ». Un processus peut donc être vu comme un « espace d’exécution ».
Un thread est un objet interne d’un processus qui sert à l’exécution effective du code d’un programme. Tous les threads partagent l’espace mémoire du processus au sein duquel ils s’exécutent, mais peuvent avoir des contextes de sécurité propres.
Un « handle » est un moyen d’accéder à une ressource pour l’observer ou la manipuler. En effet, il n’est pas possible pour une application d’accéder directement aux objets. Les...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première