Indicateurs de menace

Ce fichier utilise le sous-système 16 bits. Les logiciels malveillants l'utilisent dans une partie moins sécurisée et moins surveillée du système d'exploitation, et souvent pour lancer des attaques par escalade des privilèges.

Ce fichier exécutable semble mentir quant au moment où il a été écrit, ce qui n'est pas classique pour les logiciels écrits de manière professionnelle.

Ce fichier exécutable comporte un contenu supplémentaire qui lui a été ajouté, au-delà des zones normales du fichier. Les données ajoutées peuvent fréquemment être utilisées pour intégrer des données ou des codes malveillants, et elles sont souvent négligées par les systèmes de protection.

Le script AutoIt peut procéder à des activités de débogage.

Le script AutoIt utilise de nombreux appels à des DLL externes. Le moteur d'exécution AutoIt possède déjà de nombreuses fonctions communes. Par conséquent, l'utilisation de fonctionnalités supplémentaires provenant de DLL externes peut être un signe de malveillance.

Le script AutoIt crée des objets de synchronisation. Ce script est habituellement utilisé par les logiciels malveillants pour éviter d'infecter plusieurs fois la même cible.

Le script AutoIt est susceptible de reconstituer le processus pour exécuter son propre code qui semble provenir d'un autre processus. Cela est souvent le cas pour entraver la détection.

Le script AutoIt est susceptible de procéder à une injection de processus pour exécuter du code dans le contexte d'autres processus, afin de ne pas être détecté ou de dérober des données.

Le script AutoIt écrit dans le registre

Windows

.

Le fichier contient des preuves d'utilisation du codage Base64 d'un alphabet. Les logiciels malveillants tentent ainsi d'éviter les pratiques de détection courantes ou d'attaquer d'autres programmes qui utilisent le codage Base64.

Le fichier importe des fonctions capables de lire des arguments à partir d'une ligne de commande. Les logiciels malveillants utilisent cette fonctionnalité pour recueillir des informations sur les exécutions suivantes.

Le fichier contient plusieurs flux avec divers filtres.

Le fichier contient un nombre anormalement élevé de noms obscurcis.

Le fichier utilise les fonctionnalités EmbeddedFiles provenant de versions plus récentes de la norme PDF qu'il déclare.

Le fichier utilise la fonctionnalité FlateDecode provenant de versions plus récentes de la norme PDF qu'il déclare.

Le fichier utilise la fonctionnalité JBIG2Decode provenant de versions plus récentes de la norme PDF qu'il déclare.

Le fichier utilise les fonctionnalités

JavaScript

provenant de versions plus récentes de la norme PDF qu'il déclare.

Le fichier utilise les fonctionnalités XFA provenant de versions plus récentes de la norme PDF qu'il déclare.

Le fichier utilise les fonctionnalités XOBject provenant de versions plus récentes de la norme PDF qu'il déclare.

Le fichier contient des objets flash.

Le fichier contient des fichiers exécutables intégrés.

Le fichier contient des objets U3D.

Le fichier utilise un environnement local non valide ou non reconnu, probablement pour éviter la détection.

Les métadonnées du fichier sont de toute évidence fausses ou endommagées.

La structure du fichier n'est pas valide. La table d'allocation des tailles, des métadonnées ou du secteur interne est incorrecte, ce qui peut indiquer une faille de sécurité.

Le manifeste du fichier est incohérent. Le logiciel malveillant évite d'être détecté, mais brouille rarement les pistes de manière optimale.

Ce fichier exécutable est une DLL avec un point d'entrée non trivial. Ils sont communs dans les DLL, mais une DLL malveillante peut utiliser ce point d'entrée pour s'installer dans un processus.

Certaines chaines du fichier contiennent des caractères nuls.

Le fichier contient un nombre anormalement élevé de valeurs nulles dans les matrices.

Le fichier contient un nombre anormalement élevé de matrices comprenant différents types d'éléments.

Le fichier contient un nombre anormalement élevé de liens d'e-mail (mailto:).

Le fichier présente une structure inhabituelle d'objets de page, notamment un nombre élevé d'objets de page enfant par nœud.

Le fichier peut tenter d'obscurcir son contenu en utilisant de longues chaines codées.

Le fichier contient une longueur minimale de nom d'échappement anormalement élevée.

Le fichier peut tenter d'obscurcir son contenu en stockant une grande partie de son contenu dans des chaines codées.

Le fichier contient un nombre anormalement élevé de noms d'échappement avec des caractères hexadécimaux en majuscules.

Le fichier contient un nombre anormalement élevé de noms d'échappement valides.

Le fichier contient un nombre maximal de caractères d'échappement par nom unique anormalement élevé.

Le fichier contient un nombre anormalement élevé de noms d'échappement inutiles.

Le fichier contient un nombre anormalement élevé de nombres commençant par 8 dans la représentation décimale.

Le fichier contient un nombre anormalement élevé de nombres avec le signe plus explicite.

Le fichier contient une longueur maximale de nombres réels anormalement élevée.

Le fichier contient un nombre anormalement élevé d'objets de page enfant.

Le fichier contient un nombre anormalement élevé d'objets de page.

Le fichier contient une ou plusieurs séquences de fin de fichier anormalement longues.

Le fichier contient un nombre anormalement élevé de chaines d'échappement avec des chiffres hexadécimaux en minuscules.

Le fichier contient une longueur maximale de chaine littérale anormalement élevée.

Le fichier contient un nombre de caractères d'échappement octaux anormalement élevé dans des chaines qui sont inutilement complétées à zéro.

Le fichier contient une propagation anormalement importante entre les objets de fin.

La longueur maximale d'un commentaire dans le fichier est anormalement élevée.

Le fichier contient de brefs commentaires inhabituels qui ne sont pas utilisés par le logiciel de lecture.

Le fichier contient une quantité anormalement importante de données commentées.

Le fichier contient un nombre anormalement élevé de caractères de fin de ligne courts.

Le fichier contient un nombre anormalement élevé d'octets nuls utilisés comme espaces.

Le fichier contient un nombre anormalement élevé d'octets 09 utilisés comme espace.

Le fichier contient une zone d'espace anormalement longue.

Le fichier contient un nombre d'espaces anormalement élevé.

Le fichier contient un nombre anormalement élevé d'objets U3D.

Le fichier contient la preuve qu'un fichier batch

Windows

standard est inclus. Le logiciel malveillant évite les techniques d'analyse courantes et assure sa persistance.

Le fichier inclut certains composants de DinkumWare. Dinkumware est fréquemment utilisé dans divers composants malveillants.

Le fichier contient des propriétés OOXML suspectes.

Le fichier importe des fonctions utilisées pour générer des exceptions au sein d'un programme. Les logiciels malveillants mettent en place des tactiques pour rendre l'analyse de code dynamique standard difficile à suivre.

Le fichier enfreint la spécification concernant l'utilisation de champs réservés.

La section des ressources de ce fichier contient une anomalie. Les logiciels malveillants contiennent souvent des bits dont le format est incorrect ou des bits impairs dans la section des ressources d'une DLL.

Ce PE peut contenir un code modifiable, qui est dans le meilleur des cas non orthodoxe et dans le pire des cas symptomatique d'une infection virale. Cette fonction implique souvent que le fichier n'a pas été créé à l'aide d'un compilateur standard ou qu'il a été modifié après sa création initiale.

Le fichier contient des anomalies structurelles avec l'allocation de secteur OLE.

L'une des références à une chaine dans une table de chaines pointe vers un décalage négatif.

Une table de chaines ne se termine pas par un octet nul. Cela peut entrainer une erreur lors de l'exécution en raison d'une chaine qui ne se termine pas.

L'une des références à une chaine dans une table de chaines a pointé vers un emplacement après la fin du fichier.

Ce PE masque un élément difficile à identifier dans la zone pdata. La section « pdata » d'un fichier PE est généralement utilisée pour traiter les structures d'exécution, mais ce fichier particulier contient autre chose.

Ce PE masque un élément difficile à identifier dans la zone « relocations ». La zone « relocations » d'un fichier PE est généralement utilisée pour déplacer des symboles particuliers, mais ce fichier particulier contient autre chose.

Le fichier contient des noms de répertoire OLE associés à une malveillance.

Le fichier signale des anomalies dans la structure de répertoire OLE.

Le fichier utilise une intégration suspecte d'OLE.

Le fichier contient un code VBA suspect.

Le fichier indique une utilisation suspecte de la bibliothèque VBA.

Le fichier contient des noms suspects associés aux structures VBA.

Le fichier contient des versions VBA suspectes.

Le fichier contient certaines utilisations suspectes du SWF intégré.

Le fichier est incorrectement formé, à tel point qu'il est impossible à analyser dans son intégralité.

Le fichier rencontre des problèmes avec la façon dont il présente ses informations de version. Les logiciels malveillants procèdent ainsi pour ne pas être détectés.

Le fichier contient la preuve d'une intention de lire les mots de passe stockés dans le cache du navigateur. Les logiciels malveillants utilisent cette fonctionnalité pour recueillir les mots de passe pour exfiltration.

Le fichier contient la preuve d'une interaction avec un fournisseur d'informations d'identification ou le souhait d'apparaitre comme tel. Les logiciels malveillants procèdent de cette manière lorsque les fournisseurs d'informations d'identification accèdent à de nombreux types de données sensibles, tels que les noms d'utilisateur et les mots de passe. Ce faisant, ils peuvent compromettre l'intégrité de l'authentification.

Le fichier importe des fonctions utilisées pour collecter les informations sur l'utilisateur actuellement connecté. Les logiciels malveillants déterminent des moyens d'action pour escalader les privilèges et mieux adapter les futures attaques.

Le fichier importe des fonctions utilisées pour générer les chaines de débogage. En général, cette fonction est désactivée dans les logiciels de production, mais reste activée dans les logiciels malveillants en cours de test.

Le fichier importe des fonctions pouvant être utilisées pour collecter les détails des volumes sur le système. Les logiciels malveillants l'utilisent conjointement avec la liste pour déterminer des éléments sur les volumes en vue d'une nouvelle attaque.

Le fichier importe des fonctions utilisées pour répertorier les fichiers. Les logiciels malveillants l'utilisent pour rechercher des données sensibles ou d'autres points d'attaque.

Le fichier importe des fonctions pouvant être utilisées pour dresser la liste de toutes les DLL qu'un processus en cours d'exécution utilise. Les programmes malveillants utilisent cette fonctionnalité pour localiser et cibler des bibliothèques spécifiques à charger dans un processus et pour mapper un processus qu'ils souhaitent injecter.

Le fichier démontre une capacité à tenter d'énumérer les réseaux et cartes réseau connectés. Les logiciels malveillants le font pour déterminer l'emplacement d'un système cible par rapport aux autres et pour rechercher d'éventuels chemins latéraux.

Le fichier importe des fonctions pouvant être utilisées pour dresser la liste de tous les processus en cours d'exécution sur un système. Les logiciels malveillants l'utilisent pour localiser les processus dans lesquels injecter ou ceux qu'ils souhaitent supprimer.

Le fichier importe des fonctions pouvant être utilisées pour répertorier les volumes sur le système. Les logiciels malveillants l'utilisent pour trouver toutes les zones dont ils pourraient avoir besoin pour rechercher des données ou propager une infection.

Le fichier importe des fonctions utilisées pour accéder à Gina. Un logiciel malveillant l'utilise pour tenter de violer le système de saisie de mot de passe sécurisé Ctrl+Alt+Suppr ou d'autres fonctions de connexion au réseau.

Le fichier importe des fonctions utilisées pour collecter des informations relatives aux noms d'hôte sur le réseau et au nom d'hôte de la machine proprement dite. Le logiciel malveillant utilise cette fonctionnalité pour mieux cibler d'autres attaques ou rechercher de nouvelles cibles.

Le fichier importe des fonctions pouvant capturer et consigner les frappes de touches à partir du clavier. Les logiciels malveillants tentent ici de capturer et d'enregistrer les frappes de touches afin de trouver des informations sensibles telles que les mots de passe.

Le fichier importe des fonctions utilisées pour collecter des informations sur le système d'exploitation actuel. Les logiciels malveillants utilisent cette fonctionnalité pour déterminer comment mieux adapter les attaques et transmettre des informations à un contrôleur.

Le fichier contient des preuves d'activité de type enregistreur de frappe. Les logiciels malveillants utilisent des enregistreurs de frappe pour recueillir des informations sensibles à partir du clavier.

Le fichier inclut des mots de passe communs ou une structure permettant le forçage brut des mots de passe communs. Les logiciels malveillants tentent ici de pénétrer dans un réseau en accédant à d'autres ressources à l'aide de mots de passe.

Le fichier importe des fonctions pouvant être utilisées pour déterminer des informations détaillées sur le processeur. Les logiciels malveillants l'utilisent pour adapter les attaques et exfiltrer ces données vers une infrastructure de commande et de contrôle commune.

Le fichier interagit avec le protocole RDP (Remote Desktop Protocol). Les logiciels malveillants l'utilisent pour se déplacer latéralement et offrir des fonctionnalités de commande et de contrôle directes.

Le fichier exécute probablement un logiciel espion qui surveille le presse-papiers ou les actions de l'utilisateur lors de l'utilisation de l'API d'accessibilité.

Le fichier importe des fonctions servant à localiser le répertoire système. Les logiciels malveillants tentent ici de localiser un grand nombre de fichiers binaires système installés, car ils se cachent souvent parmi eux.

Le fichier importe des fonctions servant à collecter des informations sur l'environnement de l'utilisateur actuellement connecté. Les logiciels malveillants tentent ici de déterminer les détails de l'utilisateur connecté et de rechercher d'autres informations pouvant être obtenues à partir des variables d'environnement.

Le fichier implémente une méthode de mise en réseau non standard. Les programmes malveillants tentent ici d'éviter la détection d'approches réseau plus courantes.

Le fichier indique la capacité d'énumérer ou d'installer des plug-ins de navigateur.

Le fichier contient la preuve d'une tentative de création d'une chaine UserAgent personnalisée. Les logiciels malveillants utilisent fréquemment des chaines UserAgent courantes pour ne pas être détectés dans les requêtes sortantes.

Le fichier importe des fonctions pouvant être utilisées pour télécharger des fichiers sur le système. Les logiciels malveillants l'utilisent pour déclencher une attaque et exfiltrer les données via l'URL sortante.

Le fichier importe des fonctions capables de modifier le pare-feu

Windows

local. Les logiciels malveillants l'utilisent pour ouvrir des brèches et éviter d'être détectés.

Le fichier contient des preuves de la création d'autres entêtes HTTP personnalisés. Les logiciels malveillants tentent ici de faciliter les interactions avec les infrastructures de commande et de contrôle et d'éviter toute détection.

Le fichier contient des preuves d'interaction avec un serveur IRC. Les logiciels malveillants utilisent généralement IRC pour faciliter une infrastructure de commande et de contrôle.

Le fichier importe des fonctions qui peuvent être utilisées pour lire la mémoire à partir d'un processus en cours d'exécution. Les logiciels malveillants l'utilisent pour déterminer les emplacements appropriés dans lesquels s'insérer ou pour extraire des informations utiles de la mémoire d'un processus en cours d'exécution, telles que des mots de passe, des données de carte de crédit ou d'autres informations sensibles.

Le fichier importe des fonctions qui peuvent être utilisées pour envoyer des données hors du réseau ou d'Internet. Les logiciels malveillants l'utilisent pour exfiltrer des données ou comme méthode de commande et de contrôle.

Le fichier importe des fonctions qui permettent la manipulation de canaux nommés. Les logiciels malveillants l'utilisent comme méthode de communication et d'exfiltration des données.

Le fichier importe des fonctions qui lui permettent d'interagir avec une infrastructure RPC (Remote Procedure Call). Les logiciels malveillants l'utilisent pour diffuser ou envoyer des données à des systèmes distants à des fins d'exfiltration.

Le fichier contient un entête PE obscurci supplémentaire qui peut être une charge utile malveillante masquée.

Le fichier contient une référence obscurcie supplémentaire à kernel32.dll, une bibliothèque qui peut être utilisée par une charge utile malveillante.

Le fichier contient une référence obscurcie supplémentaire à mscoree.dll, une bibliothèque qui peut être utilisée par une charge utile malveillante.

Le fichier contient une référence obscurcie supplémentaire à msvbvm, une bibliothèque qui peut être utilisée par une charge utile malveillante compilée pour

Microsoft Visual Basic

6.

Le fichier présente des caractéristiques susceptibles de déterminer si le processus est en cours d'exécution sur une machine virtuelle. Les logiciels malveillants l'utilisent pour éviter de s'exécuter dans des bacs à sable virtualisés qui deviennent de plus en plus courants.

Le script AutoIt peut télécharger et exécuter des fichiers. Cette opération permet souvent de livrer des charges utiles malveillantes supplémentaires.

Le script AutoIt est probablement obscurci par la concaténation de chaines. Cela permet souvent d'éviter la détection de commandes suspectes complètes.

Le script AutoIt utilise la fonction d'API

Windows

CallWindowProc(), qui peut indiquer l'injection d'un shellcode.

Le script AutoIt utilise des données provenant de ressources stockées avec le script. Les logiciels malveillants stockent souvent des parties importantes d'eux-mêmes sous forme de données de ressources, qu'ils décompactent lors de l'exécution, ce qui éveille la suspicion.

Le fichier inclut visiblement un fichier CAB. Les logiciels malveillants l'utilisent pour regrouper les composants sensibles de manière à ne pas être détectés.

Le fichier contient une référence à kernel32.dll, une bibliothèque qui peut être utilisée par une charge utile malveillante.

Le fichier contient une référence à mscoree.dll, une bibliothèque qui peut être utilisée par une charge utile malveillante.

Le fichier contient une référence à msvbvm.dll, une bibliothèque qui peut être utilisée par une charge utile malveillante compilée pour

Microsoft Visual Basic

6.

Le fichier déclare la version PDF incorrecte.

Le fichier peut contenir du code

JavaScript

masqué dans des chaines littérales.

Le fichier contient un document incorporé dans l'objet. Les logiciels malveillants peuvent l'utiliser pour propager une attaque à plusieurs sources ou pour dissimuler sa véritable forme.

Le fichier contient des preuves de la présence d'une clé cryptographique intégrée. Le logiciel malveillant procède ainsi pour éviter toute détection ou peut-être pour fournir une authentification avec des services à distance.

Le fichier importe des fonctions qui lui permettent d'agir comme un débogueur. Les logiciels malveillants utilisent cette fonctionnalité pour lire et écrire à partir d'autres processus.

Le PE en contient d'autres PE, ce qui est généralement le cas uniquement avec les programmes d'installation de logiciels. Les logiciels malveillants intègrent souvent un fichier PE qu'ils déposent sur le disque, puis exécutent. Cette technique est souvent utilisée pour éviter les scanneurs de protection en regroupant les fichiers binaires dans un format que la technologie de numérisation sous-jacente ne comprend pas.

Le fichier PE contient un élément de remplacement DOS PE obscurci qui peut appartenir à une charge utile malveillante masquée.

Le fichier PE contient un élément de remplacement DOS PE obscurci qui peut appartenir à une charge utile malveillante masquée.

Le fichier PE contient des PE supplémentaires, ce qui est extrêmement suspect. Cet indicateur est similaire à l'indicateur EmbeddedPE, mais utilise un schéma de codage pour tenter de masquer davantage le code binaire à l'intérieur de l'objet.

Le fichier PE contient une fonctionnalité permettant d'exécuter une DLL à l'aide de méthodes courantes. Les programmes malveillants utilisent cette méthode pour éviter les pratiques de détection courantes.

Le fichier PE prétend être écrit par

Microsoft

, mais il ne ressemble pas à un fichier PE

Microsoft

. Les logiciels malveillants se font généralement passer pour des fichiers PE

Microsoft

pour passer inaperçus.

Le fichier contient un autre fichier exécutable MachO, qui n'est pas correctement déclaré. Il peut s'agir d'une tentative visant à éviter que la charge utile ne soit facilement détectée.

Le fichier contient des preuves de manipulation de la chaine UserAgent du navigateur. Les logiciels malveillants tentent ici de faciliter les interactions avec les infrastructures de commande et de contrôle et d'éviter toute détection.

Le fichier PE peut injecter du code dans d'autres processus. Cette fonctionnalité implique souvent qu'un processus tente d'être trompeur ou hostile d'une manière ou d'une autre.

Le fichier PE semble s'exécuter de manière invisible, mais il ne s'agit pas d'un service en arrière-plan. Il peut être conçu pour rester caché.

Le fichier contient un

JavaScript

inhabituellement suspect.

Le fichier présente des signes d'interaction avec le magasin de certificats

Windows

principal. Les logiciels malveillants procèdent ainsi pour recueillir des informations d'identification et insérer des clés indésirables dans le flux, afin de faciliter des attaques par interception.

Le fichier importe des fonctions pour utiliser la bibliothèque de cryptographie

Windows

de base. Les logiciels malveillants utilisent cette fonctionnalité pour exploiter la cryptographie installée en local et ne pas avoir à utiliser la leur.

Le fichier peut effectuer une tentative Path Traversal à l'aide de chemins relatifs tels que « ../ ».

Le fichier peut contenir un

JavaScript

obscurci ou exécuter un

JavaScript

chargé de manière dynamique avec eval().

Le fichier peut contenir un

JavaScript

obscurci.

Le fichier contient un nombre anormalement élevé de scripts

JavaScript

individuels.

Le fichier contient un nombre anormalement élevé de flux liés à

JavaScript

.

Le fichier contient un nombre anormalement élevé de jetons

JavaScript

.

Le fichier contient un nombre anormalement élevé de jetons

JavaScript

.

Le fichier contient un nombre anormalement élevé de noms suspects.

Le fichier contient un nombre anormalement élevé de noms obscurcis.

Le fichier contient un ou plusieurs fichiers PE intégrés.

Le fichier contient un objet SWF avec un numéro de version inhabituel.

Le fichier contient un objet SWF avec des paramètres de compression inhabituels.

Le fichier contient un objet SWF avec des paramètres d'indicateur de compression inhabituels.

Le fichier contient un élément de remplacement DOS, ce qui indique l'inclusion du fichier PE.

Le fichier contient un élément de remplacement DOS, ce qui indique l'inclusion du fichier PE.

Le fichier contient des données d'entête de fichier PE qui n'appartiennent pas à la structure du fichier.

Le fichier contient un fichier PE qui n'appartient pas à la structure du fichier.

Le fichier contient un fichier PE qui n'appartient pas à la structure du fichier.

Le fichier semble rechercher des systèmes de protection communs. Le programme malveillant procède ainsi pour lancer une action antiprotection adaptée à celle installée sur le système.

Un segment contient une chaine non valide, notamment un nom ou un nom non standard inhabituel. Cela peut indiquer une altération postcompilation ou l'utilisation de conditionneurs ou d'obscurcisseurs de code.

La taille du segment est sensiblement différente de celle de l'ensemble des sections du contenu. Cela peut être le signe de l'utilisation d'une zone non référencée ou de la réservation d'espace pour la décompression du code malveillant pendant l'exécution.

Le fichier semble être une archive à extraction automatique. Les logiciels malveillants utilisent souvent cette tactique pour brouiller leurs véritables intentions.

Le fichier semble être une DLL de service. Les DLL de service sont chargées dans les processus svchost.exe et constituent une méthodologie de persistance courante pour les logiciels malveillants.

Le fichier contient des jetons JS suspects.

Le fichier contient un objet flash Shockwave qui n'appartient pas à la structure du document.

Le fichier importe des fonctions utilisées pour accéder aux fichiers temporaires et les manipuler. Les logiciels malveillants procèdent ainsi, car les fichiers temporaires ont tendance à éviter la détection.

Certaines parties du code du fichier semblent être compressées. Les logiciels malveillants utilisent ces techniques pour éviter la détection.

Le fichier importe des fonctions servant à modifier la mémoire d'un processus en cours d'exécution. Les logiciels malveillants procèdent ainsi pour s'injecter dans les processus en cours d'exécution.

Le fichier contient un entête PE obscurci xor qui peut être une charge utile malveillante masquée.

Le fichier contient une référence obscurcie xor à kernel32.dll, une bibliothèque qui peut être utilisée par une charge utile malveillante.

Le fichier contient une référence obscurcie xor à mscoree.dll, une bibliothèque qui peut être utilisée par une charge utile malveillante.

Le fichier contient une référence obscurcie xor à msvbvm, une bibliothèque qui peut être utilisée par une charge utile malveillante compilée pour

Microsoft Visual Basic

6.

Le script VBA dans le document écrit probablement des octets dans un fichier. Cette action est inhabituelle pour un document légitime.

Le script VBA du fichier utilise probablement une conversion hexadécimale en binaire, ce qui peut indiquer le décodage d'une charge utile malveillante masquée.

Le fichier contient un lien qui n'appartient pas à la structure du fichier.

Le fichier contient des données suspectes en dehors de la structure du fichier, ce qui peut révéler la présence d'une faille.

Le fichier contient un script de macro qui n'appartient pas à la structure du fichier.

Le fichier contient un nop-sled qui n'appartient pas à la structure du fichier, ce qui sert vraisemblablement à faciliter l'exploitation d'une faille.

Le fichier tente d'interagir avec les méthodes courantes de persistance (par exemple, les scripts de démarrage). Les logiciels malveillants utilisent généralement ces tactiques pour parvenir à la persistance.

Le fichier dispose de fonctionnalités permettant d'interrompre des processus ou d'arrêter la machine par l'intermédiaire de commandes shell.

Le fichier PE importe des fonctions qui peuvent servir à supprimer des fichiers ou des répertoires. Les programmes malveillants utilisent cette méthode pour arrêter les systèmes et brouiller les pistes.

Le fichier contient probablement un code HeapSpray.

Le fichier démontre la volonté de verrouiller les outils courants par stratégie. Les logiciels malveillants procèdent ainsi pour conserver la persistance et rendre la détection et le nettoyage plus difficiles.

Le fichier importe des fonctions utilisées pour manipuler le registre

Windows

. Les logiciels malveillants procèdent ainsi pour parvenir à la persistance et éviter la détection, entre autres nombreuses raisons.

Le fichier PE peut tenter de lire les fichiers auxquels il n'a pas accès. Le privilège SeBackup permet d'accéder aux fichiers sans respecter les contrôles d'accès. Il est fréquemment utilisé par les programmes qui gèrent les sauvegardes et se limite souvent aux administrateurs, mais peut être utilisé de manière malveillante pour accéder à des éléments spécifiques habituellement difficiles d'accès.

Le fichier PE peut tenter d'altérer les processus système. Le privilège SeDebug permet d'accéder à des processus autres que les vôtres et se limite souvent aux administrateurs. Il est souvent associé à la lecture et à l'écriture dans d'autres processus.

Le fichier PE peut tenter de modifier ou de supprimer les fichiers auxquels il n'a pas accès. Le privilège SeRestore permet l'écriture sans tenir compte du contrôle d'accès.

Le fichier importe des fonctions pouvant contrôler les services

Windows

sur le système actuel. Un programme malveillant utilise cette fonctionnalité soit pour s'exécuter en arrière-plan (en s'installant en tant que service) soit pour désactiver d'autres services censés protéger le système.

Le fichier contient une version non modifiée du code HeapSpray de Skylined.

Le fichier PE importe des fonctions pouvant être utilisées pour générer un autre processus. Les programmes malveillants utilisent cette fonctionnalité pour lancer les phases suivantes d'une infection, généralement téléchargées sur Internet.

Le fichier contient du code

JavaScript

capable de lancer des exploits.

Le fichier contient des jetons d'obfuscation

JavaScript

.

Le fichier importe des fonctions pouvant être utilisées pour arrêter un processus en cours d'exécution. Les programmes malveillants utilisent cette fonctionnalité pour tenter de supprimer des systèmes de protection ou pour endommager un système en cours d'exécution.

Le script VBA dans le fichier est susceptible de s'exécuter automatiquement lors de la fermeture du fichier.

Le script VBA dans le fichier est susceptible de s'exécuter automatiquement lors de la fermeture du fichier.

Le script VBA dans le fichier est susceptible de s'exécuter automatiquement.

Le script VBA dans le fichier est susceptible de s'exécuter automatiquement lors de la fermeture du document.

Le script VBA dans le fichier est susceptible de s'exécuter automatiquement lors de la création d'un document.

Le script VBA dans le fichier est susceptible de s'exécuter dès l'ouverture du fichier.

Le script VBA dans le fichier est susceptible de s'exécuter dès l'ouverture du fichier.

Le script VBA dans le fichier est susceptible de s'exécuter automatiquement juste avant la fermeture du fichier.

Le script VBA dans le fichier est susceptible de s'exécuter automatiquement lors de la modification du fichier.

Le script VBA dans le fichier est susceptible de s'exécuter automatiquement lors de la fermeture du fichier.

Le script VBA dans le fichier est susceptible de s'exécuter automatiquement lors de la création d'un fichier.

Le script VBA dans le fichier est susceptible de s'exécuter dès l'ouverture du fichier.

Le script VBA dans le fichier est susceptible de s'exécuter dès l'ouverture du fichier.

Le script VBA dans le fichier est susceptible de s'exécuter automatiquement lors de la création d'un fichier.

Le script VBA dans le fichier est susceptible de s'exécuter automatiquement lors de la fermeture d'une feuille de calcul

Microsoft Excel

.

Le script VBA dans le fichier est susceptible de s'exécuter automatiquement lors de l'ouverture d'une feuille de calcul

Microsoft Excel

.

Le fichier importe des fonctions pouvant être utilisées pour changer d'utilisateur sur le système local. Il peut ajouter, supprimer ou modifier des informations clés sur l'utilisateur. Les logiciels malveillants peuvent utiliser cette fonctionnalité pour assurer la persistance ou nuire au système local.

Le fichier importe des fonctions utilisées pour créer une mémoire dans un processus en cours d'exécution. Les logiciels malveillants procèdent ainsi pour s'injecter dans le processus en cours d'exécution.

Le fichier contient une séquence d'octets ressemblant à un shellcode qui tente de détecter furtivement les API de bibliothèque chargées dans la mémoire.

Le fichier semble provenir du kit d'exploitation Blackhole.

Le fichier peut forcer un navigateur à accéder à une adresse ou à exécuter une action.

L'entête PDF est situé à un décalage différent de zéro, ce qui peut indiquer une tentative d'empêcher le fichier d'être reconnu comme un document PDF.

Le fichier peut contenir une image TIFF créée avec nop-sled pour faciliter l'exploitation d'une faille.

Le fichier contient probablement un autre PDF en tant que fichier XDP (XML Data Package).

Le fichier contient une séquence d'octets ressemblant à un shellcode qui tente de localiser kernel32.dll dans la mémoire.

Le fichier contient une séquence d'octets ressemblant à un shellcode qui tente de localiser kernel32.dll dans la mémoire.

Le fichier contient une séquence d'octets ressemblant à un shellcode qui tente de localiser kernel32.dll dans la mémoire.

Le fichier contient une séquence d'octets qui est une fonction prolog classique susceptible de contenir un shellcode.

Le fichier contient une séquence d'octets s'apparentant à un shellcode qui résout sa propre adresse pour localiser d'autres éléments en mémoire et faciliter l'exploitation.

Le fichier contient une séquence d'octets s'apparentant à un shellcode qui résout sa propre adresse pour localiser d'autres éléments en mémoire et faciliter l'exploitation.

Le fichier contient une séquence d'octets qui s'apparente à un appel de fonction indirect, probablement un shellcode.

Le fichier contient une séquence d'octets qui s'apparente à un appel de fonction indirect, probablement un shellcode.

Le fichier contient une séquence d'octets qui s'apparente à un appel de fonction indirect, probablement un shellcode.

Le fichier contient une séquence d'octets classique d'une gestion structurée des exceptions, qui contient probablement un shellcode.

Le fichier peut forcer un navigateur à accéder à une adresse ou à exécuter une action.

Le fichier peut exécuter des actions de shell.

Le fichier peut contenir une exploitation.

Le script AutoIt peut exécuter plusieurs actions sur les fichiers. Il peut être utilisé pour la collecte, la persistance ou la destruction d'informations.

Le fichier a la capacité d'obtenir une persistance à l'aide d'un ou de plusieurs mécanismes d'exécution automatique.

Le fichier importe des fonctions utilisées pour rechercher la page de codes (emplacement) d'un système en cours d'exécution. Les programmes malveillants utilisent cette fonctionnalité pour différencier le pays/la région où un système est exécuté afin de mieux cibler des groupes particuliers.

Le fichier importe des fonctions pour créer et manipuler des objets mutex. Les logiciels malveillants utilisent fréquemment des objets mutex pour éviter d'infecter un système à plusieurs reprises.

Le fichier contient une version d'

OpenSSL

compilée de telle manière qu'elle semble furtive. Les logiciels malveillants procèdent ainsi pour inclure la fonctionnalité de cryptographie sans paraitre suspects.

Le fichier a la capacité d'interagir avec les listes de propriétés utilisées par le système d'exploitation. Il peut donc obtenir une persistance ou compromettre divers processus.

Le fichier tente d'utiliser une escalade de privilèges à l'aide de CryptBase. Les programmes malveillants procèdent ainsi pour obtenir plus de privilèges sur le système affecté.

Le fichier a la capacité d'utiliser des commandes shell sensibles à des fins de reconnaissance, d'élévation de privilèges ou de destruction de données.

Le fichier a la capacité de surveiller et/ou de contrôler le système et d'autres processus, et d'effectuer des actions de type débogage.