PCTAMALOU

🔬 Mission pratique – Laboratoire (2 heures)

Architecture Sécurisée d'Analyse

⚠️ Sécurité et Éthique Primordiales

Étapes Détaillées d'Analyse

Étape 1 : Préparation des Échantillons Sûrs

# Création dossier de travail
mkdir -p ~/malware_analysis/samples
cd ~/malware_analysis

# 1. Fichier test EICAR (inoffensif)
wget https://secure.eicar.org/eicar.com.txt -O samples/eicar.com.txt

# 2. Hash connu de WannaCry (pour recherche)
echo "Hash WannaCry: 84c82835a5d21bbcf75a61706d8ab549" > samples/wannacry_hash.txt

# 3. Téléchargement depuis MalwareBazaar (échantillon réel mais connu)
# Attention: nécessite compte et approbation
# wget --post-data "query=get_file&sha256_hash=KNOWN_HASH" \
#   https://mb-api.abuse.ch/api/v1/ -O samples/sample.exe

# 4. Fichier ZIP avec mot de passe (pratique courante)
echo "infected" > samples/password.txt
zip -P infected samples/sample.zip samples/eicar.com.txtCopier

Étape 2 : Analyse avec Any.Run (Cloud)

1. Nouvelle tâche : Cliquez sur "New Task"
2. Upload : Sélectionnez eicar.com.txt
3. Configuration :
   • OS: Windows 10 (64-bit)
   • Duration: 1 minute (pour EICAR)
   • Network: Internet (pour observation C2)
   • Interactive: Off (pour début)
4. Lancement : Cliquez "Run" et observez en direct

Étape 3 : Analyse du Rapport Any.Run

## Rapport d'Analyse - EICAR Test File
**Date** : 2026-MM-JJ
**Sandbox** : Any.Run
**Sample** : eicar.com.txt
**Hash SHA256** : 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f

### Comportement Observé
1. **Processus** :
   - cmd.exe lancé pour exécution
   - Windows Script Host activé
   - Aucune injection détectée

2. **Fichiers** :
   - Création fichier temporaire
   - Lecture du contenu EICAR
   - Aucun fichier supplémentaire créé

3. **Réseau** :
   - Aucune connexion sortante
   - Aucune tentative C2

4. **Registre** :
   - Aucune modification persistante
   - Pas de clés Run ajoutées

### MITRE ATT&CK Mapping
- **T1059.003** : Windows Command Shell (technique d'exécution)
- **T1222** : File and Directory Permissions Modification

### IOC Extracted
- **Hash MD5** : 44d88612fea8a8f36de82e1278abb02f
- **Hash SHA1** : 3395856ce81f2b7382dee72602f798b642f14140
- **Hash SHA256** : 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0fCopier

Étape 4 : Analyse avec Hybrid-Analysis

1. Allez sur hybrid-analysis.com
2. Cliquez sur "Submit a sample"
3. Upload du même fichier eicar.com.txt
4. Configuration :
   • Environment: Windows 7 32-bit
   • Report type: Full (public)
   • Timeout: 60 secondes
5. Soumettez et attendez le rapport (2-5 minutes)

Étape 5 : Analyse d'un Échantillon Réel (Optionnel)

# Recherche d'échantillons sur MalwareBazaar (via API)
curl -X POST https://mb-api.abuse.ch/api/v1/ \
  -d "query=get_recent" \
  -d "selector=time" \
  -o recent_samples.json

# Extraction d'un hash SHA256 récent
SHA256_HASH=$(cat recent_samples.json | jq -r '.data[0].sha256_hash')

# Téléchargement (si approuvé)
# curl -X POST https://mb-api.abuse.ch/api/v1/ \
#   -d "query=get_file" \
#   -d "sha256_hash=$SHA256_HASH" \
#   -o sample.exeCopier

Étape 6 : Documentation Professionnelle

# Template Rapport d'Analyse Malware

## Métadonnées
- **Date analyse** : 
- **Analyste** : 
- **Sandbox utilisée** : 
- **Durée d'exécution** : 

## Échantillon
- **Nom fichier** : 
- **Type fichier** : 
- **Taille** : 
- **Hashes** :
  - MD5: 
  - SHA1: 
  - SHA256: 
  - SHA512: 

## Comportement Observé
### Processus
- Processus parent: 
- Processus enfants: 
- Injection détectée: Oui/Non

### Système de Fichiers
- Fichiers créés: 
- Fichiers modifiés: 
- Fichiers supprimés: 

### Registre Windows
- Clés créées: 
- Clés modifiées: 
- Mécanismes de persistance: 

### Activité Réseau
- Domaines contactés: 
- IPs contactées: 
- Ports utilisés: 
- Protocoles: 

## MITRE ATT&CK Mapping
| Tactic | Technique ID | Technique Name | Observations |
|--------|--------------|----------------|--------------|
| Initial Access | T1566.001 | Spearphishing Attachment | Email avec pièce jointe |
| Execution | T1059.003 | Windows Command Shell | cmd.exe lancé |
| Persistence | T1547.001 | Registry Run Keys | HKLM\...\Run modifié |

## IOC (Indicators of Compromise)
### Network IOCs
- IPs: 
- Domaines: 
- URLs: 

### Host IOCs
- Hashes: 
- Noms fichiers: 
- Clés registre: 

## Recommandations de Détection
1. **Signature YARA** : 

rule Malware_Detection {
    strings:
        $ = "malicious_string"
    condition:
        any of them
}


2. **Règles SIEM** :

source="*" "suspicious_process.exe"


3. **Configuration EDR** :
- Bloquer exécution depuis Temp
- Monitor modifications Run keys

## Annexes
- Screenshots du comportement
- Logs complets
- Rapports sandbox originauxCopier

Exercice Avancé : Détection d'Anti-Sandbox

# anti_sandbox_detector.py
import os
import sys
import time

def check_virtual_environment():
    indicators = []
    
    # Vérification des processus communs en VM
    vm_processes = ['vmtoolsd', 'vboxservice', 'xen', 'qemu']
    with open('/proc/1/comm', 'r') as f:
        if any(vm in f.read().lower() for vm in vm_processes):
            indicators.append("VM process detected")
    
    # Vérification du temps système (sandbox accélèrent souvent)
    start = time.time()
    time.sleep(5)
    elapsed = time.time() - start
    
    if elapsed < 4.5:  # Trop rapide pour être réel
        indicators.append("Time acceleration detected")
    
    return indicators

if __name__ == "__main__":
    if check_virtual_environment():
        print("[!] Sandbox environment detected - Exiting")
        sys.exit(0)
    else:
        print("[+] Real environment - Proceeding")