Human-Verified AI-Assisted Evidence Interpretation in Comparative Malware Analysis: WhiteSnake, Donex, and Emotet Samples
Cet article présente un flux de travail assisté par l'IA et vérifié par l'humain pour interpréter l'analyse statique et dynamique d'échantillons de malwares WhiteSnake, Donex et Emotet au sein d'un environnement isolé FLARE VM, en utilisant des données de projets de premier cycle archivées pour identifier des indicateurs comportementaux spécifiques tout en notant explicitement les limites concernant l'exfiltration non confirmée, le chiffrement et la capture stable de processus.
Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le monde numérique, les logiciels malveillants opèrent comme des intrus silencieux, se glissant dans les ordinateurs pour voler des secrets, verrouiller des fichiers ou détourner des systèmes pour de nouvelles attaques. Pour arrêter ces intrus, les experts en sécurité doivent comprendre exactement comment ils fonctionnent. Cela nécessite un processus rigoureux en deux étapes : d'abord, examiner le code sans l'exécuter pour voir quels outils il transporte, et deuxièmement, observer ce qu'il fait réellement lorsqu'il est autorisé à s'exécuter dans une pièce isolée et sécurisée. Le défi consiste à faire la distinction entre ce qu'un logiciel pourrait être capable de faire sur la base de son code, et ce qu'il a réellement fait lors d'un test spécifique. Si un expert voit un outil de crochetage dans la poche d'un suspect, il sait que le suspect a la capacité de forcer une entrée, mais il ne peut pas être sûr qu'une intrusion a eu lieu tant qu'il n'a pas vu la porte s'ouvrir. Cette distinction est vitale pour construire des défenses précises, pourtant elle est souvent brouillée lorsque les rapports mélangent les capacités potentielles et les actions confirmées.
Un chercheur a récemment abordé ce problème en examinant trois pièces distinctes de logiciels malveillants : l'une conçue pour voler des mots de passe, une autre destinée à chiffrer des fichiers pour une rançon, et une troisième agissant comme un chargeur (loader) pour introduire d'autres menaces. Il n'a pas créé de nouvelles expériences à partir de zéro ; au contraire, il a revisité un projet détaillé réalisé par des étudiants de premier cycle en 2025. Le chercheur a traité les journaux, captures d'écran et données originaux des étudiants comme un dossier historique à auditer. Son objectif était d'appliquer une nouvelle méthode d'analyse combinant l'expertise humaine et l'intelligence artificielle pour trier les preuves. L'IA agissait comme un assistant puissant, organisant des milliers de points de données et suggérant des interprétations possibles, mais elle ne prenait jamais la décision finale. Chaque conclusion était vérifiée et validée par un analyste humain pour s'assurer qu'aucune supposition n'était prise pour un fait.
Le premier spécimen, connu sous le nom de WhiteSnake, était un programme construit avec une technologie spécifique lui permettant de fonctionner sur de nombreux systèmes informatiques différents. Lorsque le chercheur a examiné son code, il a découvert qu'il était fortement déguisé, une technique appelée obfuscation, qui rend les instructions difficiles à lire. Plus important encore, le code contenait une longue liste de mots liés aux machines virtuelles et aux environnements sandbox, tels que « vmware » et « vbox ». Cela suggérait que le programme était conçu pour vérifier s'il s'exécutait dans une salle de test sécurisée et pour s'arrêter s'il détectait une telle présence. Lorsque le programme a été exécuté dans le laboratoire isolé, il a tenté de communiquer via le réseau, cherchant spécifiquement une connexion à un service de messagerie. Cependant, comme le laboratoire était coupé d'Internet, la connexion a échoué. Le chercheur pouvait voir la tentative, mais il ne pouvait pas confirmer que le programme avait réussi à voler des mots de passe ou à envoyer des données à un serveur distant. Les preuves montraient l'intention de voler, mais pas l'acte de vol.
Le deuxième spécimen, Donex, semblait être un programme de ransomware, conçu pour verrouiller les fichiers d'un utilisateur. Son code contenait des références à des outils de chiffrement puissants et des commandes capables d'éteindre un ordinateur ou de supprimer des journaux système. C'étaient des indicateurs clairs de ce que le programme était construit pour faire. Cependant, lorsque le chercheur l'a exécuté, le désastre attendu ne s'est pas produit. Les fichiers sur l'ordinateur de test n'ont pas été chiffrés, aucune note de rançon n'est apparue à l'écran, et le système ne a pas redémarré comme le code le suggérait. Le programme présentait des signes d'instabilité et a émis quelques bruits sur le réseau local, mais il a échoué à remplir sa fonction primaire. L'étude a conclu que bien que Donex possède les outils pour causer des dommages, il ne les a pas réellement utilisés lors de ce test spécifique. La présence des outils était réelle, mais les dégâts ne l'étaient pas.
Le troisième spécimen, Emotet, est arrivé dans un emballage trompeur : un fichier qui ressemblait à un document Word standard mais possédait une seconde extension cachée pour tromper l'utilisateur. Une fois ouvert, il a tenté de contacter une adresse spécifique sur le réseau. Dans le laboratoire isolé, cette adresse a été résolue vers une machine locale, et la tentative de connexion a échoué, renvoyant un message indiquant que la destination était injoignable. Le programme s'est déplacé si rapidement que les outils de surveillance n'ont pas pu capturer un enregistrement stable de son activité. Il est possible que le programme se soit injecté dans un autre processus ou qu'il ait simplement terminé sa tâche avant que les caméras ne puissent se focaliser, mais le chercheur ne pouvait pas le prouver. Il pouvait seulement confirmer que le programme avait tenté de communiquer et avait échoué en raison des conditions du laboratoire.
Un aspect clé de cette étude fut la manière dont le chercheur a géré l'intelligence artificielle. Il a utilisé l'IA pour organiser les données désordonnées des trois tests et pour proposer des explications possibles sur ce qu'il observait. L'IA a suggéré que les comportements correspondaient à des tactiques connues utilisées par les cybercriminels. Cependant, l'équipe humaine a examiné chaque suggestion. Ils ont rejeté l'idée que les programmes avaient réussi à voler des données ou à chiffrer des fichiers car la preuve directe faisait défaut. Ils ont également rejeté l'idée que les programmes avaient réussi à échapper à la détection, même si le code suggérait qu'ils essayaient de le faire. L'IA fournissait une liste de possibilités, mais les analystes humains apportaient la vérité basée sur ce qui était réellement enregistré.
Le résultat final de ce travail est une carte claire et prudente de ce qui s'est passé. Le chercheur a trouvé que ces trois programmes possédaient les capacités de voler des données, de chiffrer des fichiers et de masquer leurs traces. Pourtant, dans les conditions spécifiques de ce test, aucun d'entre eux n'a réussi à accomplir sa mission principale. L'étude souligne que voir une capacité dans le code n'est pas la même chose que voir l'action dans le monde réel. En séparant ce qui a été observé de ce qui n'a été que suggéré, l'équipe a créé une image plus fiable de la menace. Cette approche garantit que les défenses de sécurité sont construites sur des faits confirmés plutôt que sur des suppositions, évitant ainsi la surestimation du danger tout en reconnaissant le potentiel de nuisance. Ce travail sert de rappel que, dans la lutte contre les menaces numériques, la patience et la vérification sont tout aussi importantes que les outils utilisés pour trouver l'ennemi.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.