Petit Disclaimer on va apprendre a but éducatif ici afin de comprendre comment les hackers créent des virus pour décortiquer tout ça j'aurai besoin que vous compreniez que le but n'est nullement malveilant mais pour se protéger contre une attaque il faut déjà la comprendre, alors je ne serai pas responsable de vos conneries.

Les virus

Comme tout tuto français je me dois de faire une description longue avec plein de mots clés SEO pour vous expliquer ma thématique. Les virus aussi bien informatique que biologiques ont diverses propriétés qui leur permettent d'être encore d'actualité, c'est ceci qu'on va détailler ici on va parler du principe sans le technique dans cet article (le technique viendra...).

Fonctions d'Attaque

Tout d'abord il faut choisir quel type de virus on souhaite créer et à quelles fins. Une lance ne vous servira pas à faire la même chose qu'un marteau (enfin pas toujours..). Voici quelques exemples :

• Keylogging -> Récupérer les touches de clavier frappées et les clics de souris émis par un utilisateur
• Sniffer -> Comme Wireshark c'est fait pour sniffer un réseau en particulier choisi par nos soins
• Backdoor -> Va nous permettre un accès à la machine infectée tant que le virus est présent
• Rootkit -> Permet de dissimuler la présence de processus/fichiers illégitime en gros il permet de cacher notre virus aux défenses de la machine.
• Chiffrement -> Permet de chiffrer des fichiers clés ou carrément tout le système afin d'avoir une rançon en général
• Botnet -> En gros c'est une backdoor qui vient se lier a un réseau d'autres machines infectées ça sert pour tout un tas de truc notamment les DDOS
• Vol -> Aulieu de chiffrer on va voler pour réutiliser ou revendre
• Phishing -> Utilise la machine comme un bot pour spammer d'email
• Privilege Escalation -> Utilise les failles du système utilisateur pour devenir root
• Logic Bomb -> Un virus qui dort sur la machine ennemie et s'active à une ou plusieurs conditions, exemple si l'utilisateur veut supprimer le virus qu'il a trouvé celui-ci s'active pour empêcher ça.
• Propagation -> Une machine infectée sert de point d'entrée au réseau et le réseau sert de canal de distribution du virus

Maintenant qu'on a une bonne vue des différentes attaques, va falloir comprendre qu'un vrai virus implémente plusieurs de ces fonctionnalités en même temps :

• Ransomware -> Chiffrement + Vol + Logic Bomb Inversée
• Adware -> Keylogging + Vol + Rootkit (si bien fait)
• Spyware -> Keylogging + Sniffing + Vol + Rootkit (si bien fait aussi)
• Etc....

C'est là qu'on commence à comprendre l'envergure du truc. Et jusqu'ici coder tout ça c'est déjà hyper chiant en plus faut vraiment être calé sur tout un tas de sujet ou bosser en équipe. Mais si c'était aussi facile y'en aurait plus de WannaCry ou des EternalBlue. Donc ducoup bah maintenant faut mettre en place de superbes défenses pour s'évader aux yeux des antivirus. Et pour ça y'en a un paquet :

• Polymorphisme -> Le virus change tout seul de place des blocs de son propre code qui n'empêche pas la même logique de pouvoir fonctionner ce qui permet de modifier sa signature (car sur les systèmes Windows chaque fichier ou programmes à sa propre signature) et permet de s'absoudre de cette vérification des antivirus.
• Métamorphisme -> La le virus réécrit tout son propre code le but ici c'est d'échapper à la rétro-ingéniérie (analyse du code du virus) parceque en fin de compte votre virus n'est pas éternel il sera fera baiser à un moment ou un autre donc le fait de réécrire le code permet d'effacer les traces. Et aussi de faire chier le Blue Teaming :)
• Chiffrement -> Le code malveillant (payload) est chiffré et déchiffré uniquement en mémoire au moment de l’exécution
• Obfuscation -> Le code est volontairement rendu illisible ou très compliqué à analyser
• Anti-debugging -> Détecte si le code est dans un debogueur ou éditeur et se ferme automatiquement
• Anti-VM / Anti-sandbox -> Le virus vérifie lui même si il est dans une vm ou sandbox et refuse de s'exécuter si tel est le cas
• Injection de code -> En fait notre virus ici sert de passerelle pour injecter son code dans des processus légitimes comme explorer.exe ou autre afin que l'antivirus ne pige rien.
• Packers / Crypters -> Le binaire est compressé ou chiffré avec un outil spécifique, rendant l’analyse plus complexe (souvent utilisé pour les RATs et keyloggers).
• Persistence -> Modifie des éléments du système pour survivre à un redémarrage (ex. : tâche planifiée, clé de registre Run, service, etc.).
• Self-healing / Autoprotection -> Le virus peut se réparer s’il est partiellement supprimé, ou réinfecter un système après nettoyage.