malware-analysis

name	malware-analysis
description	Guide complet d'analyse de malwares — YARA, sandbox, analyse statique/dynamique, PE/ELF header, signature, VirusTotal, triage, et workflow d'analyste SOC.

Analyse de Malwares — Guide Complet

---

1. Triage rapide — Premiers réflexes

# 1. Identifier le type de fichier
file malware.exe
file malware_sample

# 2. Hash
sha256sum malware.exe
md5sum malware.exe

# 3. Strings (indices rapides)
strings malware.exe | less
strings -n 8 malware.exe                 # Chaînes ≥ 8 chars
strings -e l malware.exe                 # UTF-16 LE (Windows)
strings malware.exe | grep -iE "http|cmd|powershell|exe|dll|password|url"

# 4. Vérifier VirusTotal
sha256sum malware.exe
# Chercher le hash sur https://www.virustotal.com

# 5. Métadonnées
exiftool malware.exe

---

2. Analyse statique

PE (Portable Executable — Windows)

# Structure du PE
objdump -x malware.exe | head -100
objdump -d malware.exe | head -200       # Désassemblage

# Sections
objdump -h malware.exe

# Imports (bibliothèques utilisées)
objdump -p malware.exe | grep -A50 "DLL Name"
# ⚠️ Fonctions suspectes : VirtualAlloc, CreateRemoteThread, WriteProcessMemory, URLDownloadToFile

# Entropy check
binwalk -E malware.exe
# Entropie > 7 = probablement packé/chiffré

# Vérifier si packé
# Signes : peu de strings, sections nommées UPX0/UPX1, entropie élevée
# Dépacker UPX :
upx -d malware.exe

ELF (Linux)

# Analyse ELF
readelf -h malware.elf
readelf -S malware.elf
readelf -d malware.elf
objdump -d malware.elf | head -200

# Bibliothèques dynamiques
ldd malware.elf

Macros Office

# Analyse de documents suspects
oleid document.docm                 # Détection macros
olevba document.docm                # Extraire VBA
mraptor document.docm               # Détection malveillance heuristique

---

3. YARA — Détection par patterns

Écrire une règle YARA

rule detect_rat {
    meta:
        description = "Détecte un RAT connu"
        author = "Analyste"
        date = "2026-07-14"
        severity = "high"

    strings:
        $str1 = "Backdoor.Win32" wide ascii
        $str2 = "/c cmd.exe" fullword
        $hex1 = { E8 ?? ?? ?? ?? 83 C4 04 85 C0 }

    condition:
        2 of them
}

Utiliser YARA

# Scanner un fichier
yara ma_regle.yar malware.exe

# Scanner un dossier
yara -r regles/ /dossier/analyse/

# Avec règles communautaires
git clone https://github.com/Yara-Rules/rules.git
yara -r rules/index.yar malware.exe

---

4. Analyse dynamique

strace / ltrace (Linux)

strace -f ./malware.elf -o trace.log
ltrace ./malware.elf

# Filtrer les appels réseau
strace -e trace=network ./malware.elf
strace -e trace=open,read,write ./malware.elf

Monitoring réseau

# Lancer un listener pour voir les connexions sortantes
tcpdump -i eth0 -w malware.pcap &
./malware.elf
# Analyser malware.pcap dans Wireshark

# Vérifier les connexions actives
netstat -antp | grep malware
ss -tulnp

Sandbox rapide (isolation)

# Firejail — sandbox légère
firejail --net=none --private ./malware.elf
firejail --net=eth0 --private --dns=8.8.8.8 ./malware.elf

# Docker sandbox
docker run --rm -it --network none -v $(pwd):/sample:ro alpine /bin/sh

---

5. Analyse de shellcode

# Convertir en binaire
echo -n 'shellcode_hex' | xxd -r -p > shellcode.bin

# Analyse dans r2
r2 -a x86 -b 32 shellcode.bin
> aaa
> pdf

# Émuler avec scdbg (Windows, via Wine)
wine scdbg.exe /f shellcode.bin

# Émuler avec unicorn (Python)
pip install unicorn

---

6. Extraction d'indicateurs (IOCs)

# Extraire les IPs
strings malware.exe | grep -oE '\b([0-9]{1,3}\.){3}[0-9]{1,3}\b' | sort -u

# Extraire les URLs
strings malware.exe | grep -oE 'https?://[^\s"]+' | sort -u

# Extraire les domaines
strings malware.exe | grep -oE '[a-zA-Z0-9.-]+\.(com|net|org|io|xyz|tk|ml|ga|cf)' | sort -u

# Extraire les emails
strings malware.exe | grep -oE '[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}' | sort -u

---

7. CAPE Sandbox (analyse automatisée)

# Installer CAPE (sandbox complète)
git clone https://github.com/kevoreilly/CAPEv2.git

# Soumettre un échantillon
python3 submit.py malware.exe

# Résultats web : http://localhost:8000

# Alternatives en ligne gratuites :
# - https://any.run
# - https://hybrid-analysis.com
# - https://tria.ge

---

8. Analyse de mémoire (malware running)

# Dump mémoire processus (Windows)
# Avec Volatility :
vol -f memory.dmp windows.malfind
vol -f memory.dmp windows.dlllist --pid <PID>

# Injection détectée ?
vol -f memory.dmp windows.vadinfo --pid <PID> | grep -i "PAGE_EXECUTE_READWRITE"

# Processus cachés
vol -f memory.dmp windows.psxview

---

Cheatsheet rapide

# 1. Triage
file malware; sha256sum malware; strings malware | less

# 2. PE analysis
objdump -x malware.exe; objdump -p malware.exe | grep DLL

# 3. Packed?
binwalk -E malware.exe; upx -d malware.exe

# 4. Macros
olevba document.docm

# 5. YARA
yara regles.yar malware

# 6. Dynamique
strace -f ./malware; tcpdump -i eth0 -w capture.pcap

# 7. IOCs
strings malware | grep -oE 'https?://[^\s"]+'

# 8. VirusTotal
sha256sum malware; # chercher le hash

Ressources

• VirusTotal : https://www.virustotal.com
• Any.Run : https://any.run
• YARA Rules : https://github.com/Yara-Rules/rules
• MalwareBazaar : https://bazaar.abuse.ch
• Vx-underground : https://vx-underground.org