Packer - les « Packers » sont des « utilitaires » dont le métier consiste à compresser un code exécutable (.exe, .dll, .ocx, etc.) et à le crypter simultanément. Ces fichiers exécutables cryptés ne peuvent alors être analysés par les antivirus.

01.04.2012 - Révision 21.08.2020 - Révision mineure 03.03.2021. Auteur : Pierre Pinard.

Les « Packers » sont des « utilitaires » dont le métier consiste à compresser un code exécutable (.exe, .dll, .ocx, etc.) et à le crypter simultanément. Au moment de son exécution, un code ainsi passé entre les mains d'un packer monte en mémoire compressé et encrypté, puis s'auto-expanse pour, enfin, s'exécuter. Le problème est que les antivirus et les antimalwares analysent un code lorsqu'il demande à monter en mémoire (lorsque l'on demande l'accès à son fichier - on-access), avant qu'il ne s'exécute or, s’il est « packé », il est quasiment impossible à détecter en malveillance, même s'il embarque un parasite (s'il est utilisé en cheval de Troie) ou s’il est lui-même un parasite (une malveillance).

Les antimalwares comme « Malwarebytes » analysent un code non pas lorsqu’il monte en mémoire (on-access) mais lorsqu’il demande à s’exécuter (on-execution). Là, le code doit s’auto décrypter et s’auto-décompresser : il est devenu totalement visible et « Malwarebytes » le retient jusqu’à avoir fini son analyse (en outre, on-execution règle définitivement le problème de cohabiter avec d'autres antivirus simultanés).

Les « Packers » sont donc constitués de 2 parties :

• La routine de compression / cryptage, extérieure au programme compressé.
• La routine de décompression / décryptage injectée dans le programme compressé.

On les utilise de 2 manières :

• Légitime - Ils permettent d'empêcher ou rendre très compliqué le désassemblage (reconstruction du code source à partir du code exécutable) et/ou la modification (patch) d'un programme. En ce sens ils durcissent et sécurisent un programme exécutable et protègent les intérêts de leurs auteurs.
• Agressive - Ils permettent d'empêcher les antivirus et les antimalwares de calculer les signatures des parasites et rendent le code plus petit sans l'altérer. Les parasites traités par un « Packers » sont beaucoup plus furtifs.

Quelques exemples de Packers :