Analyse et détection dynamique de codes viraux dans un contexte cryptographique

• Main Author: Josse, Sébastien
• Published: Ecole Polytechnique X 2009
• Subjects: [INFO] Computer Science; [MATH] Mathematics; Cryptographie; Crypto-virologie; Rétro-ingénierie; Analyse virale; Détection virale; Interprétation abstraite; Modèles statistiques
• Online Access: http://pastel.archives-ouvertes.fr/pastel-00005279; http://pastel.archives-ouvertes.fr/docs/00/50/12/52/PDF/These-Sebastien_Josse.pdf

Cette thèse est consacrée à la problématique de l'évaluation des produits antivirus. L'utilisateur final d'un produit antivirus ne sait pas toujours quelle confiance il peut placer dans son produit antivirus pour parer convenablement la menace virale. Pour répondre à cette question, il est nécessaire de formuler la problématique de sécurité à laquelle doit répondre un tel produit et de disposer d'outils et de critères méthodologiques, techniques et théoriques permettant d'évaluer la robustesse des fonctions de sécurité et la pertinence des choix de conception au regard d'une menace virale identifiée. Je concentre mon analyse de la menace virale sur quelques mécanismes (mécanismes cryptographiques, transformations de programme) adaptés au contexte boîte blanche, i.e. permettant à un virus de protéger ses données critiques en confidentialité et de masquer son fonctionnement dans un environnement complètement maîtrisé par l'attaquant. Une première étape incontournable avant toute organisation d'une ligne de défense consiste à analyser les virus, afin d'en comprendre le fonctionnement et les effets sur le système. Les méthodes et techniques de la rétro-ingénierie logicielle occupent ici - au côté des techniques de cryptanalyse - une place centrale. J'ai pris le parti de focaliser sur les méthodes dynamiques d'extraction d'information fondées sur une émulation du matériel supportant le système d'exploitation. L'évaluation d'un moteur de détection selon des critères objectifs requiert un effort de modélisation. J'étudie quelques modèles utilisés actuellement (grammaires formelles, interprétation abstraite, statistique). Chacun de ces modèles permet de formaliser certains aspects du problème de la détection virale. Je m'attache à l'étude des critères qu'il est possible de définir dans chacun de ces cadres formels et à leur utilisation pour partie des travaux d'évaluation d'un moteur de détection. Mes travaux m'ont conduit à la mise en oeuvre d'une approche méthodologique et d'une plate-forme de tests pour l'analyse de robustesse des fonctions et mécanismes d'un produit anti-virus. J'ai développé un outil d'analyse de code viral, appelé VxStripper, dont les fonctionnalités sont utiles à la réalisation de plusieurs des tests. Les outils formels sont utilisés pour qualifier en boîte blanche - ou sur la base des documents de conception détaillée - la conformité et l'efficacité d'un moteur de détection.