Une fois lâché dans la jungle numérique, le malware fait tout pour infecter le plus grand nombre d'ordinateurs possible, mais ce comportement traditionnel peut se retourner contre lui si de l'autre côté se trouve un chercheur qui l'attend. De nombreux développeurs ont modifié leurs créatures pour qu'elles ne s'installent pas dans les machines virtuelles, et cela se fait en détectant certains processus associés à des ressources comme VirtualBox et VMWare. AntiFooling est un outil dont l'objectif est de simuler ces processus sur un ordinateur normal, afin de tromper le malware.
Les développeurs de malwares veulent que leurs créations atteignent toutes les destinations, et bien sûr, qu'elles ne soient pas interceptées en cours de route. Une fois qu'un expert en sécurité informatique ou un chercheur obtient une copie, il y a de fortes chances qu'il puisse concevoir une sorte d'outil ou de mécanisme qui bloque son fonctionnement. Un autre aspect important est d'étudier le comportement du malware dans une machine virtuelle, mais il existe déjà de nombreuses variantes capables de reconnaître si elles se trouvent dans un environnement isolé. VMWare et VirtualBox ajoutent une série de processus à leurs systèmes invités, qui garantissent le bon fonctionnement d'éléments tels que l'audio, la vidéo et les périphériques d'entrée. Le malware n'a qu'à détecter la présence de ces processus pour éviter une exposition indésirable. Et si on utilisait cela à son tour contre lui... ?
AntiFooling : un outil pour duper le malware
Ah, c'est là qu'intervient AntiFooling, un outil créé par l'utilisateur Scorpio du forum Indetectables.net. En résumé, AntiFooling trompe le malware en installant sur un ordinateur classique les processus que l'on trouve dans une machine virtuelle. Avec cette technique, le malware ne peut pas distinguer un ordinateur réel d'un virtuel, et pour protéger son intégrité, il évite de l'infecter. AntiFooling offre deux options : simuler un environnement VirtualBox ou un environnement VMWare. En théorie, les deux devraient être aussi efficaces l'un que l'autre, car il n'y a aucun intérêt à bloquer une machine virtuelle tout en ignorant l'autre, bien qu'il soit possible d'activer les deux en même temps. AntiFooling ne nécessite pas d'installation formelle, et pour planifier son démarrage avec le système d'exploitation, il suffit de cocher une case.
Personnellement, je ne pense pas qu'il y ait des problèmes de distribution pour AntiFooling, car les processus en question n'ont pas été extraits de leurs programmes d'origine, mais sont plutôt des « placeholders », avec une taille de 808 kilooctets dans tous les cas (312 Ko dans l'édition x32). AntiFooling est une forme de protection intéressante, cependant, l'idéal serait que le malware n'atteigne jamais nos ordinateurs en premier lieu...
(Note de la rédaction : l'accès au téléchargement nécessite un compte sur Indetectables, mais le lien pointe directement vers une copie hébergée sur Sendspace.)
