Qu'est-ce qu'un virus polymorphe ?
Il existe plusieurs similitudes entre les virus biologiques et les virus informatiques. Alors que les virus biologiques envahissent les cellules pour survivre et se propager, les virus informatiques se greffent sur les fichiers d'un système informatique pour se développer et se propager. Les deux types de virus peuvent également manipuler et corrompre le code de leur hôte pour créer des copies d'eux-mêmes.
Un sous-ensemble de virus informatiques appelés virus polymorphes intègre une autre caractéristique de leur homologue biologique : la mutation. Pensez à la fréquence à laquelle le virus de la grippe mute ou au nombre croissant de variants du coronavirus — les altérations aident parfois les maladies à échapper aux défenses biologiques. De même, les virus polymorphes mutent pour changer leur code tout en conservant généralement leur fonction principale. La différence entre un virus biologique en mutation et un virus polymorphe informatique réside dans le fait que le premier mute naturellement, tandis que le second est programmé avec le polymorphisme.
Que fait un virus polymorphe ?
Comme un virus informatique classique, un virus polymorphe corrompt les données et ralentit les ressources du système, conduisant parfois à des dysfonctionnements comme les erreurs d’écran bleu. Tous les virus, qu’ils soient polymorphes ou réguliers, nécessitent des programmes hôtes, une action de l'utilisateur pour passer d’un système à l’autre et attachent des fragments de leur code malveillant aux fichiers hôtes ou les remplacent entièrement par des copies malveillantes. Là où les virus polymorphes se démarquent, c'est qu'ils utilisent un moteur polymorphe pour cacher leur code, généralement via la cryptographie.
Le moteur polymorphe, également connu sous le nom de moteur de mutation, modifie la procédure de décryptage du logiciel malveillant à chaque fois qu'il se réplique, ce qui rend son nouvel état difficile à identifier pour les logiciels antivirus classiques. Pour prendre un exemple cinématographique, imaginez un virus polymorphe comme le T-1000 de Terminator 2, qui se métamorphose pour cacher son identité sans jamais perdre sa fonction principale.
Virus polymorphe vs. malware polymorphe
Lorsque l'on parle de virus polymorphes, on parle souvent de logiciels malveillants polymorphes. Pour mieux comprendre, il faut connaître la différence entre les virus et les logiciels malveillants en informatique. En bref, un virus n'est qu'un type de logiciel malveillant. Les vers, les chevaux de Troie, les bots, les enregistreurs de frappe et les rançongiciels sont d'autres types de logiciels malveillants qui peuvent utiliser des moteurs de mutation pour contourner la technologie antivirus. Par exemple, un logiciel malveillant polymorphe comme Emotet est un cheval de Troie bancaire qui vole des informations sensibles tout en trompant les outils de cybersécurité pour se cacher.
Un autre exemple de malware polymorphe est Win32/VirLock ransomware. Non seulement Win32/VirLock bloque les écrans d'ordinateur et chiffre les données, mais il modifie sa structure pour chaque fichier et exécution infectés. VirLock est l'une des premières souches de ransomware à utiliser le polymorphisme.
Qu'est-ce qu'un ver polymorphe ?
Un ver polymorphe est un type de ver informatique difficile à détecter car il modifie sa structure au fur et à mesure de sa propagation. En outre, un ver polymorphe peut également modifier sa charge utile malveillante pour empêcher les logiciels de sécurité de l'arrêter. Le ver Storm est un exemple de logiciel malveillant adaptatif que la technologie antivirus conventionnelle a eu du mal à corriger parce qu'il modifiait sa signature. Le packer polymorphe du ver comportait de nombreuses variantes, ce qui lui permettait de modifier ses signatures toutes les 10 à 30 minutes. Les capacités d'évasion des menaces de Storm ont frustré les spécialistes de la cybersécurité, car il ouvrait des portes dérobées dans les ordinateurs et formait facilement de vastes réseaux de zombies.
Quelle est la différence entre les malwares polymorphes et métamorphes ?
Bien que les malwares polymorphes chiffrent leur code d'origine pour arrêter la détection, ils ne changent pas leur code. Mais le malware métamorphe est plus dangereux car il modifie son propre code. Lorsqu'un malware doté de capacités métamorphiques infecte un hôte, la prochaine version peut sembler totalement différente.
Peut-on détecter un virus polymorphe ?
Un virus polymorphe ou tout logiciel malveillant utilisant un moteur de mutation est difficile à détecter pour les outils antivirus traditionnels car il change d'état après l'infection. Comme vous le savez probablement, les logiciels de sécurité typiques utilisent des techniques basées sur les signatures. Lorsque le malware polymorphe change de signature, le logiciel antivirus utilisant la détection par signature échoue.
Cependant, les logiciels antivirus avancés utilisant l'analyse heuristique pour améliorer la technologie anti-malware peuvent détecter les menaces émergentes comme les malwares polymorphes. Alors, que signifie "heuristiques"? Eh bien, les chercheurs ont inventé ce terme pour décrire un programme anti-malware qui examine la structure potentielle d'une menace, la logique de programmation et les données à la recherche de code inutile, d'instructions inhabituelles, et de comportements menaçants.
Comme d'autres cybermenaces, les logiciels malveillants polymorphes se propagent par le biais de courriels d'hameçonnage, de sites web malveillants et de liens dangereux. Ils peuvent également tirer parti de failles dans les systèmes d'exploitation et les programmes. La prévention des menaces de transmutation nécessite une stratégie de défense complète. Utilisez des outils antivirus proactifs, corrigez régulièrement vos logiciels et évitez tout vecteur d'infection qu'un virus polymorphe pourrait utiliser. Les dirigeants d'organisations qui cherchent à stopper les menaces polymorphes devraient envisager d'investir dans une protection des points finaux qui utilise l'apprentissage automatique et l'intelligence artificielle pour reconnaître et empêcher le code hostile.