Qu'est-ce qu'un virus polymorphe ?
Il existe plusieurs similitudes entre les virus biologiques et les virus informatiques. Alors que les virus biologiques envahissent les cellules pour survivre et se propager, les virus informatiques se greffent sur les fichiers d'un système informatique pour se développer et se propager. Les deux types de virus peuvent également manipuler et corrompre le code de leur hôte pour créer des copies d'eux-mêmes.
Un sous-ensemble de virus informatiques appelés virus polymorphes intègre une autre caractéristique de leur homologue biologique : la mutation. Pensez à la fréquence à laquelle le virus de la grippe mute ou au nombre croissant de variants du coronavirus — les altérations aident parfois les maladies à échapper aux défenses biologiques. De même, les virus polymorphes mutent pour changer leur code tout en conservant généralement leur fonction principale. La différence entre un virus biologique en mutation et un virus polymorphe informatique réside dans le fait que le premier mute naturellement, tandis que le second est programmé avec le polymorphisme.
Que fait un virus polymorphe ?
Comme un virus informatique classique, un virus polymorphe corrompt les données et ralentit les ressources du système, conduisant parfois à des dysfonctionnements comme les erreurs d’écran bleu. Tous les virus, qu’ils soient polymorphes ou réguliers, nécessitent des programmes hôtes, une action de l'utilisateur pour passer d’un système à l’autre et attachent des fragments de leur code malveillant aux fichiers hôtes ou les remplacent entièrement par des copies malveillantes. Là où les virus polymorphes se démarquent, c'est qu'ils utilisent un moteur polymorphe pour cacher leur code, généralement via la cryptographie.
Le moteur polymorphe, également connu sous le nom de moteur de mutation, modifie la procédure de décryptage du logiciel malveillant à chaque fois qu'il se réplique, ce qui rend son nouvel état difficile à identifier pour les logiciels antivirus classiques. Pour prendre un exemple cinématographique, imaginez un virus polymorphe comme le T-1000 de Terminator 2, qui se métamorphose pour cacher son identité sans jamais perdre sa fonction principale.
Virus polymorphe vs. malware polymorphe
Quand on parle de virus polymorphes, on fait souvent référence à des malwares polymorphes. Pour comprendre cela, il faut connaître la différence entre virus et malware dans le domaine informatique. En bref, un virus n'est qu'un type de malware. D'autres types de malware qui peuvent utiliser des moteurs de mutation pour contourner la technologie antivirus incluent les vers, les chevaux de Troie, les bots, les keyloggers et les ransomwares. Par exemple, un malware polymorphe comme Emotet est un cheval de Troie bancaire qui vole des informations sensibles tout en trompant les outils de cybersécurité pour se cacher.
Un autre exemple de malware polymorphe est Win32/VirLock ransomware. Non seulement Win32/VirLock bloque les écrans d'ordinateur et chiffre les données, mais il modifie sa structure pour chaque fichier et exécution infectés. VirLock est l'une des premières souches de ransomware à utiliser le polymorphisme.
Qu'est-ce qu'un ver polymorphe ?
Un ver polymorphe est un type de ver informatique difficile à détecter car il modifie sa structure en se propageant. De plus, un ver polymorphe peut également modifier sa charge utile malveillante pour empêcher les logiciels de sécurité de l'arrêter. Le Storm Worm est un exemple de malware adaptatif que la technologie antivirus conventionnelle a lutté pour éradiquer parce qu'il changeait sa signature. Le packer polymorphe du ver avait de nombreuses variantes, lui permettant de modifier les signatures toutes les 10 à 30 minutes. Les capacités d'évasion de menace de Storm ont frustré les spécialistes de la cybersécurité car il ouvrait des portes dérobées dans les ordinateurs et formait de grands botnets facilement.
Quelle est la différence entre les malwares polymorphes et métamorphes ?
Bien que les malwares polymorphes chiffrent leur code d'origine pour arrêter la détection, ils ne changent pas leur code. Mais le malware métamorphe est plus dangereux car il modifie son propre code. Lorsqu'un malware doté de capacités métamorphiques infecte un hôte, la prochaine version peut sembler totalement différente.
Peut-on détecter un virus polymorphe ?
Un virus polymorphe ou tout logiciel malveillant utilisant un moteur de mutation est difficile à détecter pour les outils antivirus traditionnels car il change d'état après l'infection. Comme vous le savez probablement, les logiciels de sécurité typiques utilisent des techniques basées sur les signatures. Lorsque le malware polymorphe change de signature, le logiciel antivirus utilisant la détection par signature échoue.
Cependant, les logiciels antivirus avancés utilisant l'analyse heuristique pour améliorer la technologie anti-malware peuvent détecter les menaces émergentes comme les malwares polymorphes. Alors, que signifie "heuristiques"? Eh bien, les chercheurs ont inventé ce terme pour décrire un programme anti-malware qui examine la structure potentielle d'une menace, la logique de programmation et les données à la recherche de code inutile, d'instructions inhabituelles, et de comportements menaçants.
Comme d'autres menaces cybernétiques, les malwares polymorphes se propagent par le biais d'e-mails de phishing, de sites web malveillants et de liens dangereux. Ils peuvent également exploiter des failles dans les systèmes d’exploitation et les programmes. Prévenir les menaces transformatrices nécessite une stratégie de défense complète. Utilisez des outils antivirus proactifs, mettez régulièrement vos logiciels à jour et évitez tout vecteur d'infection qu'un virus polymorphe pourrait utiliser. Les chefs d'organisation qui cherchent à arrêter les menaces polymorphes devraient envisager d'investir dans une protection des points de terminaison qui utilise l'apprentissage automatique et l'intelligence artificielle pour reconnaître et prévenir le code hostile.