Protection 📝 Contourner les antivirus via du chiffrement personnalisé : méthodes et contre-mesures

[Sylvain*]

Contourner les antivirus via du chiffrement personnalisé : méthodes et contre-mesures

Introduction

Le chiffrement personnalisé est une méthode utilisée par les attaquants pour dissimuler un code malveillant aux yeux des antivirus. En encapsulant une charge utile dans un format chiffré ou encodé sur mesure, puis en la déchiffrant dynamiquement en mémoire, les signatures classiques sont contournées, et le binaire passe souvent inaperçu. Cette approche est fréquemment observée dans les campagnes APT, les malwares polymorphes et les outils de Red Team. Ce tutoriel détaille les techniques de contournement les plus courantes, les indicateurs de compromission et les stratégies de défense à adopter dans un environnement professionnel sous Windows.

---

Prérequis

• Connaissance approfondie de Windows

• Compréhension des mécanismes de chiffrement et d'encodage

• Familiarité avec les outils EDR et les techniques d’analyse en mémoire

• Droits administrateurs nécessaires

---

Niveau de difficulté

• Étape #1 : Analyse de la méthode de chiffrement personnalisée

• Étape #2 : Détection d’activités suspectes en mémoire

• Étape #3 : Surveillance des déchiffrements dynamiques

• Étape #4 : Mise en place de protections comportementales

• Étape #5 : Réponse proactive avec outils de sécurité avancés

---

Les Avantages

• Étape #1 : Renforcement des capacités de détection

• Étape #2 : Analyse plus fine des comportements en mémoire

• Étape #3 : Capacité à détecter des malwares polymorphes

• Étape #4 : Limitation des faux positifs par analyse dynamique

• Étape #5 : Alignement avec les meilleures pratiques Red/Blue Team

---

Les Inconvénients

• Étape #1 : Complexité élevée d’analyse sans outils spécialisés

• Étape #2 : Détection difficile sans surveillance mémoire active

• Étape #3 : Nécessite une veille constante sur les techniques d’obfuscation

• Étape #4 : Impact potentiel sur les performances système

• Étape #5 : Compétences avancées requises pour corrélation des événements

---

Étape #1

Identifier les fichiers suspects avec une entropie élevée

Analyser les fichiers avec binwalk ou Detect It Easy

Vérifier la présence d’un déchiffreur intégré ou de stubs personnalisés

Utiliser PEiD pour repérer des packers ou crypteurs connus

---

Étape #2

Surveiller les processus suspects avec Sysmon

Activer la journalisation :

Sysmon.exe -accepteula -i sysmonconfig.xml

Observer les événements :

Event ID 7 : Image Loaded

Event ID 10 : ProcessAccess

Croiser les données avec un SIEM

---

Étape #3

Identifier les techniques de déchiffrement dynamique :
XOR, AES, RC4, ROT13, base64, shellcode loader

Observer les allocations mémoire avec Process Hacker

Utiliser :

sc queryex type= service state= all

Inspecter les buffers mémoire nouvellement alloués à l’aide de Volatility

---

Étape #4

Activer AMSI et désactiver PowerShell v2

Déployer Microsoft Defender Exploit Guard

Créer une règle ASR (Attack Surface Reduction) :

powershell -Command "Add-MpPreference -AttackSurfaceReductionRules_Ids <GUID> -AttackSurfaceReductionRules_Actions Enabled"

Surveiller le comportement avec Process Monitor

---

Étape #5

Intégrer une solution EDR avec analyse comportementale

Mettre en place une corrélation d’événements avec un SIEM

Créer des règles de détection personnalisées pour les outils de pentest (ex : payloads chiffrés)

Former les analystes SOC à reconnaître les signes de déchiffrement en mémoire

---

Astuce

Utilisez des honeypots configurés pour intercepter les charges utiles chiffrées. Leur analyse en sandbox permet d’identifier rapidement les vecteurs utilisés pour contourner les antivirus.

---

Mise en garde

Le traitement de binaires chiffrés ou obfusqués à des fins de test doit impérativement s’effectuer dans un environnement isolé sans accès Internet, afin de limiter les risques de compromission.

---

Conseil

Effectuez régulièrement des reverse engineering de binaires suspects pour améliorer vos signatures YARA internes et anticiper les techniques de chiffrement émergentes.

---

Solutions alternatives

• antivirus evasion par chiffrement

• analyse binaire packé malware

• détection payload chiffré windows

---

Références utiles

• Support Microsoft

• Microsoft Learn

• Recherche GitHub

---

Conclusion

Le contournement des antivirus via le chiffrement personnalisé représente une menace sophistiquée qui nécessite une combinaison de surveillance comportementale, d’analyse mémoire et de formation continue des analystes. Ce tutoriel présente les techniques de dissimulation employées, ainsi que les moyens concrets de les identifier et de les bloquer efficacement.