Analyse de malware
Ce que notre chaîne d'analyse sait d'un échantillon : type de fichier, packer utilisé, motifs détectés et échantillons liés.
SHA-256 uniquement. C'est la clé sur laquelle notre base d'analyse est indexée : nous ne recevons jamais le fichier lui-même, seulement son empreinte.
Comment lire le résultat
L'entropie n'est pas un verdict
Elle mesure le caractère aléatoire des octets, de 0 à 8. Une valeur proche de 8 indique des données compressées ou chiffrées : c'est le cas des fichiers traités par un packer, mais aussi de la plupart des programmes d'installation légitimes.
Les indicateurs sont des chaînes
Les adresses et les URL sont ce qu'une analyse des octets a trouvé dans le fichier. Beaucoup appartiennent à des certificats et à des bibliothèques que le fichier transporte simplement, et non à ce qu'il contacte.
Une correspondance désigne une famille, pas un nom
Une règle DYNEX reconnaît un motif de code. Trente mille échantillons partageant un même loader générique montrent que ce loader est courant, pas qu'ils relèvent tous de la même campagne.