Qu'est-ce qu'un virus polymorphe ?
Il existe plusieurs similitudes entre les virus biologiques et les virus informatiques. Alors que les virus biologiques envahissent les cellules pour survivre et se propager, les virus informatiques s'introduisent dans les fichiers du système informatique pour se développer et se répandre. Les deux types de virus peuvent également manipuler et corrompre le code de leur hôte afin de se répliquer.
Un sous-ensemble de virus informatiques appelés virus polymorphes intègre une autre caractéristique de leur homologue biologique : la mutation. Pensez à la fréquence à laquelle le virus de la grippe mute ou au nombre croissant de variants du coronavirus — les altérations aident parfois les maladies à échapper aux défenses biologiques. De même, les virus polymorphes mutent pour changer leur code tout en conservant généralement leur fonction principale. La différence entre un virus biologique en mutation et un virus polymorphe informatique réside dans le fait que le premier mute naturellement, tandis que le second est programmé avec le polymorphisme.
Que fait un virus polymorphe ?
Comme un virus informatique classique, un virus polymorphe corrompt les données et ralentit les ressources du système, conduisant parfois à des dysfonctionnements comme les erreurs d’écran bleu. Tous les virus, qu’ils soient polymorphes ou réguliers, nécessitent des programmes hôtes, une action de l'utilisateur pour passer d’un système à l’autre et attachent des fragments de leur code malveillant aux fichiers hôtes ou les remplacent entièrement par des copies malveillantes. Là où les virus polymorphes se démarquent, c'est qu'ils utilisent un moteur polymorphe pour cacher leur code, généralement via la cryptographie.
Le moteur polymorphe, également appelé moteur de mutation, modifie la procédure de déchiffrement du logiciel malveillant à chaque réplication, rendant son nouvel état difficile à identifier pour les antivirus classiques. À titre d'exemple, on peut comparer un virus polymorphe au T-1000 de Terminator 2 : il change de forme pour dissimuler son identité tout en conservant sa fonction principale.
Virus polymorphe vs. malware polymorphe
Lorsqu'on parle de virus polymorphes, on fait souvent référence aux logiciels malveillants polymorphes. Pour mieux comprendre ce phénomène, il est essentiel de distinguer les infections virales des infections par logiciel malveillant . En résumé, un virus n'est qu'un type de logiciel malveillant parmi d'autres. D'autres types de logiciels malveillants, tels que les vers, les chevaux de Troie, les bots, les enregistreurs de frappe et les rançongiciels , peuvent utiliser des moteurs de mutation pour contourner les antivirus. Par exemple, Emotet, un logiciel malveillant polymorphe , est un cheval de Troie bancaire qui dérobe des informations sensibles tout en trompant les outils de cybersécurité pour se dissimuler.
Un autre exemple de malware polymorphe est Win32/VirLock ransomware. Non seulement Win32/VirLock bloque les écrans d'ordinateur et chiffre les données, mais il modifie sa structure pour chaque fichier et exécution infectés. VirLock est l'une des premières souches de ransomware à utiliser le polymorphisme.
Qu'est-ce qu'un ver polymorphe ?
Un ver polymorphe est un type de ver informatique difficile à détecter car il modifie sa structure en se propageant. De plus, un ver polymorphe peut également modifier sa charge utile malveillante pour empêcher les logiciels de sécurité de l'arrêter. Le Storm Worm est un exemple de malware adaptatif que la technologie antivirus conventionnelle a lutté pour éradiquer parce qu'il changeait sa signature. Le packer polymorphe du ver avait de nombreuses variantes, lui permettant de modifier les signatures toutes les 10 à 30 minutes. Les capacités d'évasion de menace de Storm ont frustré les spécialistes de la cybersécurité car il ouvrait des portes dérobées dans les ordinateurs et formait de grands botnets facilement.
Quelle est la différence entre les malwares polymorphes et métamorphes ?
Bien que les malwares polymorphes chiffrent leur code d'origine pour arrêter la détection, ils ne changent pas leur code. Mais le malware métamorphe est plus dangereux car il modifie son propre code. Lorsqu'un malware doté de capacités métamorphiques infecte un hôte, la prochaine version peut sembler totalement différente.
Un virus polymorphe peut-il être détecté ?
Un virus polymorphe ou tout logiciel malveillant utilisant un moteur de mutation est difficile à détecter pour les outils antivirus traditionnels car il change d'état après l'infection. Comme vous le savez probablement, les logiciels de sécurité typiques utilisent des techniques basées sur les signatures. Lorsque le malware polymorphe change de signature, le logiciel antivirus utilisant la détection par signature échoue.
Cependant, les logiciels antivirus avancés utilisant l'analyse heuristique pour améliorer la technologie anti-malware peuvent détecter les menaces émergentes comme les malwares polymorphes. Alors, que signifie "heuristiques"? Eh bien, les chercheurs ont inventé ce terme pour décrire un programme anti-malware qui examine la structure potentielle d'une menace, la logique de programmation et les données à la recherche de code inutile, d'instructions inhabituelles, et de comportements menaçants.
Comme d'autres menaces cybernétiques, les malwares polymorphes se propagent par le biais d'e-mails de phishing, de sites web malveillants et de liens dangereux. Ils peuvent également exploiter des failles dans les systèmes d’exploitation et les programmes. Prévenir les menaces transformatrices nécessite une stratégie de défense complète. Utilisez des outils antivirus proactifs, mettez régulièrement vos logiciels à jour et évitez tout vecteur d'infection qu'un virus polymorphe pourrait utiliser. Les chefs d'organisation qui cherchent à arrêter les menaces polymorphes devraient envisager d'investir dans une protection des points de terminaison qui utilise l'apprentissage automatique et l'intelligence artificielle pour reconnaître et prévenir le code hostile.