Domaine de recherche · Analyse binaire & forensique Agentic
Du binaire au chemin d'attaque : comprendre le code malveillant, en déduire la détection
Une analyse de malware n'est terminée que lorsque le comportement compris se traduit en détection. Nous associons le reverse engineering assisté par IA à la pratique forensique : dans VamiReverse, des agents spécialisés préparent le travail d'analystes qui vérifient les règles, les IOC et le rattachement à MITRE ATT&CK – jusqu'au Compromise Assessment, qui recherche précisément ces traces dans votre environnement.
- Analyse multi-agents
- APK · PE/ELF · .NET
- YARA · Sigma · Suricata
- IOC & MITRE ATT&CK
- Frida
- Compromise Assessment
- Honeypots & leurres
- Deep Dives
- 4
- Livres blancs
- 0
- Solutions
- 1
Pourquoi l'analyse ne s'achève qu'avec la détection et le nettoyage
Les attaquants passent souvent inaperçus : selon Mandiant M-Trends 2026, le temps de présence médian mondial s'établissait en 2025 à 14 jours, et seuls 52 % des incidents examinés ont été détectés en interne. Un échantillon isolé n'apporte alors que peu de réponses. Ce qu'il faut : le comportement, les mécanismes de persistance et les canaux de communication, des indicateurs permettant de rechercher des traces dans son propre environnement, et les règles de détection qui en découlent.
C'est là qu'intervient VamiReverse : des agents spécialisés s'appuient sur des outils exploités en propre, comme Ghidra, ILSpy et jadx, et analysent des applications Android (APK) ainsi que des programmes Windows et Linux (PE/ELF, .NET compris). Ils fournissent du pseudo-code annoté par l'IA, une analyse comportementale, des hypothèses de vulnérabilités, des règles YARA, Sigma et Suricata, des IOC et le rattachement à ATT&CK. Les applications Android peuvent être examinées dynamiquement avec Frida, en sandbox et sur émulateur ; l'IA propose, les analystes vérifient.
Notre note de situation du 31 octobre 2026 sur l'extension Claude Code manipulée montre à quoi ressemblent de tels indicateurs : une clé SSH portant le commentaire svc-telemetry, le LaunchAgent com.apple.sysmond ou la tâche planifiée SysMon, et des connexions sortantes vers un serveur des attaquants. Ces informations s'appuient sur la notice de sécurité de Cursor et sur les analyses d'OpenSourceMalware et de StepSecurity – exactement le type de traces que recherche un Compromise Assessment.
Les questions ouvertes du terrain
- 01
Jusqu'où peut-on déléguer l'analyse de malwares à des agents IA ?
Notre approche
Aussi loin que les analystes vérifient les résultats. Dans VamiReverse, des agents spécialisés préparent le travail des analystes au lieu de les remplacer : ils qualifient les comportements, proposent des règles et établissent un rapport d'analyse. La plateforme est exploitée en SaaS sur T Cloud Public, exclusivement dans des centres de données allemands, ou, sur demande, on-prem ; le LLM est au choix, et aucun entraînement d'IA n'a lieu sur les données client.
- 02
Quand un sweep IOC suffit-il, et quand faut-il une recherche orientée comportement ?
Notre approche
Les sweeps IOC comparent les artefacts forensiques à des indicateurs connus comme les hashes de fichiers, les adresses IP et les domaines ; ils trouvent ce qui est déjà connu. Les analyses fondées sur les TTP recherchent des techniques d'attaque selon MITRE ATT&CK et détectent ainsi aussi une activité sans signature connue. Dans le Compromise Assessment, nous combinons les deux avec la télémétrie EDR ; les analystes valident manuellement les résultats suspects.
- 03
Que reste-t-il sur la machine après la suppression d'une extension manipulée ?
Notre approche
Dans le cas de l'extension Claude Code, une clé SSH, des scripts et un LaunchAgent ou une tâche planifiée subsistaient après la désinstallation. L'ordre compte : isoler la machine du réseau et préserver les traces, supprimer la persistance, puis installer la version corrigée et renouveler les identifiants depuis une machine saine. Un Compromise Assessment établit ensuite s'il y a eu des activités ultérieures.
- 04
Que révèlent les honeypots sur les outils d'un attaquant ?
Notre approche
Cela dépend du niveau d'interaction. Les honeypots à faible interaction n'émulent des services que superficiellement et n'offrent que des enseignements limités. Les honeypots à forte interaction mettent à disposition des systèmes réels et permettent d'analyser en profondeur les outils et les modes opératoires, mais exigent une sécurisation nettement plus poussée. Pour qu'un leurre compromis ne serve pas de tremplin, nous limitons strictement le trafic sortant.
Ce que nous retenons
- 01
Les noms des variables d'environnement suffisent à révéler des accès
Le chargeur de l'extension Claude Code manipulée se trouvait au début d'extension.js, avant le code proprement dit, et s'exécutait dès le chargement ; aucune conversation avec Claude n'était nécessaire. Ont été transmis un profil de la machine et les noms des variables d'environnement – d'après les analyses menées jusqu'ici, pas leurs valeurs. Ces noms suffisent déjà à révéler où se trouvent des accès.
- 02
Un résultat négatif ne vaut que pour les données disponibles
Un Compromise Assessment fournit un instantané pour un périmètre et une période définis. S'il ne trouve aucune activité d'attaquant, cela ne prouve pas une absence absolue de compromission. De nombreux assessments livrent en outre des constats structurels : lacunes dans la journalisation et les capteurs, conservation des logs trop courte – autant de faiblesses qui compliquent une investigation forensique ultérieure.
Source: Compromise Assessment
- 03
Les données d'incident sont des preuves – même sans poursuites pénales
Selon NIST SP 800-61 Rev. 3, l'intégrité et la provenance des données d'incident collectées doivent être préservées ; ISO/IEC 27037 décrit à cet effet l'identification, la collecte, l'acquisition et la préservation, avec valeurs de hachage et chain of custody. Pour l'analyse, cela signifie : sécuriser d'abord les données volatiles comme la mémoire vive et ne pas réinstaller trop vite les systèmes compromis, car cela détruit des preuves.
Source: Incident Response
- 04
La qualité de détection prime sur le taux de couverture
MITRE ATT&CK catalogue des techniques observées, mais ce n'est ni un catalogue de mesures ni une checklist de conformité. Les heatmaps de couverture peuvent créer un faux sentiment de sécurité lorsque de nombreuses règles faibles ne couvrent les techniques que nominalement. Les règles issues de l'analyse de malwares ne sont efficaces que si la source de données appropriée est collectée et si la détection a été testée face au comportement réel des attaquants.
Source: MITRE ATT&CK
Notre démarche
Les analyses statique et dynamique fournissent des hypothèses. Elles ne deviennent solides qu'avec la vérification par les analystes, le rattachement à MITRE ATT&CK et la recherche dans l'environnement concerné.
Analyse binaire agentique
Des agents spécialisés s'appuyant sur Ghidra, ILSpy et jadx : pseudo-code annoté par l'IA, analyse comportementale et hypothèses de vulnérabilités pour APK ainsi que PE/ELF, .NET compris.
Analyse dynamique Android
Les applications Android sont exécutées avec Frida en sandbox et sur émulateur et examinées à l'exécution.
Règles de détection & IOC
Règles YARA, Sigma et Suricata, indicateurs de compromission et rattachement à MITRE ATT&CK comme résultat vérifiable de l'analyse.
Sweeps IOC et TTP
Comparer les artefacts forensiques à des indicateurs connus et rechercher les techniques d'attaque par leur comportement, avec en complément la télémétrie EDR et une validation manuelle.
Préservation des preuves selon ISO/IEC 27037
Identification, collecte, acquisition et préservation des preuves numériques – avec copies de travail, valeurs de hachage et une chain of custody sans faille.
Honeypots & honeynets
Des leurres d'apparence réaliste dans des segments honeynet isolés, pour observer les techniques des attaquants – strictement séparés du réseau de production ; les leurres s'arrêtent à la limite de votre propre réseau.
Pour démarrer
- 1Sécuriser et décortiquer l'artefactSécuriser l'échantillon dans les règles de l'art forensique, l'analyser de manière statique et dynamique, et dégager le comportement, la persistance et les canaux de communication.
- 2Dériver et vérifier la détectionLes analystes vérifient les propositions des agents et en dérivent des règles, des IOC et le rattachement à ATT&CK – documentés de manière traçable dans le rapport d'analyse.
- 3Fouiller l'environnement et le nettoyerSweeps IOC et TTP dans le cadre du Compromise Assessment ; en cas de compromission active, passage structuré à la réponse aux incidents, avec nettoyage et renouvellement des identifiants.
Deep Dives, livres blancs et analyses
Deep Dives 4
Du domaine à la mise en œuvre
Domaines de recherche connexes
Fichier suspect ou comportement anormal sur le réseau ?
Nous analysons les échantillons, examinons votre environnement dans le cadre d'un Compromise Assessment et accompagnons le nettoyage. En cas de suspicion urgente, notre CSIRT est joignable à tout moment à l'adresse csirt@vamisec.com.