Rétroingénierie de logiciels malfaisants

Datadocké

OF 73310795531

FOR_1705-0013

Qualifier la menace d'un logiciel malfaisant
Savoir mettre en place d'un laboratoire d'analyse des logiciels malfaisants et préparer l'outillage d'analyse
Analyser de manière statique et dynamique le comportement de logiciels malfaisants
Apprendre l'architecture x86
Savoir identifier les structures logiques (boucles, branchement...)
Savoir identifier des motifs utilisés par les logiciels malfaisants en analysant le code
Analyser la mémoire
Savoir contourner les techniques d'autoprotection

Membres d'un SOC ou d'un CSIRT
Équipes de réponse aux incidents
Toute personne souhaitant réaliser des analyses avancées des menaces
Toute personne intéressée par l'analyse des logiciels malfaisants
Professionnel de la sécurité souhaitant acquérir des connaissances en analyse de codes malfaisants
Analystes
Responsables sécurité

35 heures

Section 1 : Introduction aux bases de l'analyse de logiciels malveillants

Cas d'analyse

Introduction au langage assembleur
- Guide de survie des instructions de bases
- Instruction modifiant le flux d'exécution
- Présentation des registres
Conventions d'appels
- Spécificités des langages objets
IDA Pro:
- Introduction
- Prise en main de l'outil (création de scripts)
Chaine de compilation et binaires
- Fuite d'informations possibles
- Imports d'information dans IDA

Section 2 : Système d'exploitation

Introduction aux systèmes d'exploitation
- Processus vs thread
- Scheduler
- Syscall
- Différence processus vs thread
Format d'exécutable
- Format PE
  - Présentation des informations
Structures internes
- SEH
- TEB
- PEB
- SSDT
Introduction au "kernel debugging"

Section 3 : Mécanismes de protection (DRM ou packer)

Introduction aux outils de DRM/Protection de code
- Comment les identifier ?
  - Quels sont les impacts ?
-- Introductions aux différentes techniques de protection :
- Anti-désassemblage
- Anti-debogage
- Obscurcissement du CFG
- Machine virtuelle Évasion (détection de sandbox/Virtualisation)
Analyse de packer
- Présentation de la méthode générique d'unpacking
- Découverte de l'OEP
- Reconstruction de la table d'imports
  - Miasm2 :
    - Unpacking automatique

Section 4 : Malwares

Section 5 : Autres types de malwares

Malware "Web" (JavaScript/VBScript)
- Analyse statique et dynamique
- Limitation des navigateurs
Malwares Flash
Applications mobiles Android
Documents malveillants
- Suite Office
- PDF
- RTF
Malwares .Net

Section 6 : Threat Intelligence

Section 7 : Avantage de l'analyse mémoire

A l'issue de cette formation, le stagiaire a la possibilité de passer un examen ayant pour but de valider les connaissances acquises,
Cet examen de type QCM dure 1h30 et a lieu durant la dernière après-midi de formation,
La réussite à l'examen donne droit à la certification HS2
Formation délivrée en partenariat avec HS2