leHACK Conferences & workshops 📅 iCal

De nos jours les antivirus, pour détecter les malware, reposent principalement sur l’analyse dynamique. Pour analyser le comportement d’un malware, il est nécessaire que les solutions d’antivirus aient le moyen d’intercepter ses actions. Pour cela, Microsoft a ajouté au sein de l’OS Windows ce que l’on appelle des kernel callbacks. Ces kernels callbacks sont en fait des fonctions de l’API Windows qui permettent, moyennant un niveau de privilège fort, d’intercepter les actions d’un malware. Pour avoir les privilèges suffisants, il est nécessaire que ces fonctions soient utilisées par un certain type de composant: les drivers. Au cours de ce talk nous verrons ce qu’est un driver Windows, comment en développer un et enfin comment l’utiliser afin de détecter un malware simple.