Une nouvelle méthode de détection de malware

[SX-News]

Une nouvelle méthode de détection de malware

Description : Un peu de théorie pour la recherche de malware

Lien : http://www.secfault.org/?p=127

[AsteroHache]

yo'

les 3 mots qui m'ont gêné:  obfuscation, polymorphisme et syscalls.

Intéressant en tous les cas.

Merki.

Se baser sur le comportement et pas la multitude de définitions de virus est intelligent 

[igor51]

Salut

 obfuscation =  fait de cacher du code dans du code par divers moyen : chiffrement, rajout de faux code, chamboulement total du code, saut inconditionnel de partout etc.

 polymorphisme = le code change tout le temps, enfin entre deux exécutions, le code sera différent

 syscalls = appel système  : permet de faire exécuter du code par le noyau, fait l'interface entre l'espace utilisateur les ressources. ce code est exécuté au niveau du noyau

[AsteroHache]

ok
merci pour ces précisions Igor51, c'est un peu plus clair donc pour ce qui est fait.

le premier est statique donc, seulement planqué mais pas évolutif.
le second évolue au fil des exécutions, cela me parait plus difficile à démasquer, voire impossible à repérer... Mais bon, parole d'un noob dans le domaine

Pour le troisième, là les choses sont prises à la base... faudra des outils puissants pour virer l'infection dans ce cas donc.

thx much

[MultiUser]

Salut,

très intéressant .. thanks pour les info's

La multitude , la protection des fichiers système, le type d'action ou de fichier, le comportement, ...
il y a plein de paramètres à prendre en compte ... pas évident ... Dans un autre style, je trouve cette démarche
intéressante : http://www.malekal.com/2010/11/12/tutorial-et-guide-defensewall-hips/

Principe de fonctionnement

Contrairement aux antivirus et anti-spywares, Defense Wall HIPS ne fonctionne pas avec une base de signatures permettant de reconnaître les dits malwares.
 . . .

@+

[sayce]

Le lien de la news est mort chez moi.
 

[igor51]

oui je sais, le site est actuellement en train d'être déplacé, je ne sais pas quand l'admin va le remettre

[sayce]

Thx

[sayce]

Il remarche.