Comment les rançongiciels échappent aux défenses

Cette revue académique publiée dans la revue Cybersecurity (Springer) dresse un état de l'art complet des techniques d'évasion des rançongiciels et des mécanismes de défense associés.

Les techniques d'évasion décortiquées :

• Injection de processus : le malware s'exécute au sein d'un processus légitime (injection DLL ou PE). Des familles comme Cerber, WannaCry et REvil utilisent des appels Windows comme VirtualAllocEx, WriteProcessMemory et CreateRemoteThread pour charger leur code dans un processus sain ;
• Obfuscation du flux de contrôle : ajout de sauts, boucles et fausses conditions pour rendre l'analyse statique inextricable (techniques employées par Phobos, NetWalker et CLOP) ;
• Anti-analyse : détection des machines virtuelles et des sandbox, temporisation avant l'exécution de la charge utile ;
• Destruction des traces : suppression des journaux d'événements et des points de restauration système.

L'étude s'appuie sur le référentiel MITRE ATT&CK pour cartographier les défenses couche par couche (réseau, système de fichiers, matériel) et évalue des pistes prometteuses comme les leurres (decoys) et la détection comportementale par reconstruction du graphe de flux de contrôle.

Mon analyse

C'est l'article le plus technique de ma veille : il montre que la course entre attaquants et défenseurs se joue au niveau des appels système et du comportement des processus, pas seulement des signatures antivirus. J'y ai découvert comment les EDR modernes surveillent les enchaînements d'appels d'API Windows pour repérer un chiffrement de fichiers en cours — une approche qui m'intéresse comme développeur car elle relie programmation bas niveau et cybersécurité.