Skip to content
Reverse Engineering

> analyze --sample suspicious.exe --learn

Apprenez la rétro-ingénierie pour analyser les malwares.

Un parcours guidé, un catalogue de techniques d’attaque et des contre-mesures d’analyste — tout ce qu’il faut pour comprendre un binaire malveillant et le détecter.

Commencer à apprendreExplorer les techniques
56
Leçons
25
Techniques
0
Entrées assembleur
52
Termes du glossaire

// Le parcours

Onze modules, du format PE et des internes de Windows à l’évasion, l’unpacking et l’automatisation. Suivez-les dans l’ordre ou piochez ce dont vous avez besoin.

  1. 014/4

    Fondations
    Pourquoi analyser des malwares, comment le faire en sécurité, et ce qu'est vraiment un binaire — du code source au processus.

  2. 025/5

    Formats binaires
    Le format PE en profondeur — en-têtes, sections, imports, exports et ressources — et l'essentiel d'ELF pour les malwares Linux.

  3. 036/6

    Triage statique
    Répondre aux premières questions sur un échantillon en quelques minutes, sans l'exécuter — et en tirer des détections.

  4. 045/5

    Désassemblage & analyse de code
    Comment les désassembleurs retrouvent le code, lire la sortie du compilateur, et s'aider des flots de contrôle et de données.

  5. 055/5

    Windows pour analystes
    Les notions Windows sur lesquelles s'appuient les malwares — API et API native, processus, threads, DLL, mutex, services, registre et frontière user/kernel.

  6. 065/5

    Analyse dynamique
    Exécuter les échantillons sous observation — surveillance comportementale, simulation réseau, débogage, traçage d'API et dump mémoire.

  7. 076/6

    Comportements malveillants
    Ce que font réellement les malwares et comment chaque comportement apparaît dans le code et la télémétrie — persistance, C2, vol d'identifiants, injection et furtivité.

  8. 085/5

    Encodage, crypto & signatures
    Reconnaître encodages et cryptographie, extraire les configurations, et transformer ce que vous décodez en signatures réseau et hôte.

  9. 096/6

    Évasion & unpacking
    Déjouer les pièges qui font perdre du temps aux analystes — anti-désassemblage, anti-débogage, détection de sandbox et packing — par patching, hooking et unpacking.

  10. 104/4

    Au-delà de l'EXE
    Les malwares qui ne sont pas des exécutables natifs — shellcode, assemblies .NET, scripts et documents malveillants — et les outils adaptés.

  11. 115/5

    Analyse automatisée & avancée
    Laisser les outils travailler — instrumentation, émulation, analyse de teinte, exécution symbolique et chaînes d'analyse.

// Catégorie

Anti-analyse9 techniquesObfuscation5 techniquesPacking & Crypters5 techniquesInjection de code6 techniquesAnti-désassemblagePersistanceCommande & ContrôleAnti-forensiqueLiving off the LandAccès aux identifiants

Techniques

Explorer les techniques →
Obfuscationintermediate
Dynamic Import Resolution
Au lieu d'une table d'imports normale, le programme résout les API à l'exécution via LoadLibrary et GetProcAddress sur des chaînes chiffrées, laissant l'IAT statique quasi vide et l'analyste aveugle.
windows
Injection de codeadvanced
Section Mapping Injection
Injecter du code sans WriteProcessMemory en mappant une section partagée à la fois dans le processus local et distant, en écrivant le shellcode via la vue locale, puis en l'exécutant depuis la vue distante.
windows
Packing & Cryptersadvanced
Nanomites
Les sauts conditionnels sont remplacés par des points d'arrêt INT3 tandis qu'un processus débogueur parent détient une table associant chaque adresse à la cible et à la condition réelles du saut, corrigeant l'exécution à chaque exception de débogage.
windows
Anti-analysebeginner
Hardware Fingerprint Sandbox Check
Le malware interroge le nombre de cœurs CPU, la taille de la RAM et la capacité du disque ; les ressources anormalement faibles typiques des sandboxes automatisées trahissent l'environnement d'analyse et suppriment le déclenchement.
windows
Injection de codeadvanced
KernelCallbackTable Injection
Détourner un processus GUI en modifiant une entrée de sa KernelCallbackTable dans le PEB pour pointer vers du shellcode injecté, puis déclencher l'exécution avec un message de fenêtre tel que WM_COPYDATA.
windows
Obfuscationintermediate
Instruction Substitution
Une instruction arithmétique ou logique unique est remplacée par une séquence équivalente plus longue : la passe -sub d'OLLVM qui gonfle les expressions et casse la reconnaissance naïve de motifs.
windowslinuxmacos

Blog