Packer - les « Packers » sont des « utilitaires » dont le métier consiste à compresser un code exécutable (.exe, .dll, .ocx, etc.) et à le crypter simultanément. Ces fichiers exécutables cryptés ne peuvent alors être analysés par les antivirus.

cr  01.04.2012      r+  22.10.2024      r-  22.10.2024      Pierre Pinard.         (Alertes et avis de sécurité au jour le jour)

Les « Packers » sont des utilitaires qui compressent des fichiers tout en les encryptant. Les packers ne sont pas toujours employés avec de mauvaises intentions, mais sont utiles aux auteurs de trojans (chevaux de Troie), car ils rendent leur travail indétectable aux antivirus.

Les « packers » sont des « utilitaires » dont le métier consiste à compresser un code exécutable (.exe, .dll, .ocx, etc.) et à le crypter simultanément. Au moment de son exécution, un code ainsi passé entre les mains d'un packer monte en mémoire compressé et encrypté, puis s'auto-expanse pour, enfin, s'exécuter. Le problème est que les antivirus et les antimalwares analysent un code lorsqu'il demande à monter en mémoire (lorsque l'on demande l'accès à son fichier - on-access), avant qu'il ne s'exécute or, s'il est « packé », il est quasiment impossible à détecter en malveillance, même s'il embarque un parasite (s'il est utilisé en cheval de Troie) ou s'il est lui-même un parasite (une malveillance).

Les antimalwares comme « Malwarebytes » analysent un code non pas lorsqu'il monte en mémoire (on-access), mais lorsqu'il demande à s'exécuter (on-execution). Là, le code doit s'autodécrypter et s'autodécompresser : il est devenu totalement visible et « Malwarebytes » le retient jusqu'à avoir fini son analyse (en outre, on-execution règle définitivement le problème de cohabiter avec d'autres antivirus simultanés).

Les « Packers » sont donc constitués de 2 parties :

• La routine de compression / cryptage, extérieure au programme compressé.

• La routine de décompression / décryptage injectée dans le programme compressé.

On les utilise de 2 manières :

• Légitime - Ils permettent d'empêcher ou rendre très compliqué le désassemblage (reconstruction du code source à partir du code exécutable) et/ou la modification (patch) d'un programme. En ce sens ils durcissent et sécurisent un programme exécutable et protègent les intérêts de leurs auteurs.

• Agressive - Ils permettent d'empêcher les antivirus et les antimalwares de calculer les signatures des parasites et rendent le code plus petit sans l'altérer. Les parasites traités par un « Packers » sont beaucoup plus furtifs.

Quelques exemples de Packers :