À propos

Qui écrit ce site, et comment les analyses sont faites.

Gordon PEIRS. Je fais du reverse engineering de malwares réels : ransomwares, stealers et loaders, RAT, bootkits UEFI, un backdoor kernel signé WHQL, campagnes Lazarus.

Chaque analyse publiée ici porte mon nom, indique sa méthode en tête du billet et vient le plus souvent avec ses outils et son runbook (les commandes pour refaire l'analyse, une par une). Ce site, ses analyses et ses outils sont un projet personnel, sans lien avec mon employeur. Les outils sont publiés sous licence MIT.

Parcours : LinkedIn. Code : GitHub. Contact : ozer0x777 [at] reversing.re.

Contributions à des outils libres

Sauf mention contraire, ces contributions ont été fusionnées par les mainteneurs des projets. Chacune est détaillée dans les billets de la section correspondante.

  • DRAKVUF, l'analyse de malwares depuis l'hyperviseur : quinze PR fusionnées entre le 20 septembre et le 2 novembre 2026 (de #1874 à #1882, puis #1888, #1890, #1894, #1895, #1897 et #1898), et une page du wiki officiel sur l'installation de Windows 11 sous Xen, écrite à la demande du mainteneur. Les billets de la section DRAKVUF s'arrêtent au 24 octobre.
  • LibVMI, la lecture de la mémoire d'une machine virtuelle : cinq PR fusionnées (#1123, #1124, #1126, #1127, #1128) pour Windows 11, Windows Server et Windows 32 bits, dont une, #1124, qui n'a finalement rien changé, comme les billets LibVMI l'expliquent.
  • Volatility 3, l'analyse d'images mémoire : des correctifs pour les fichiers d'hibernation de Windows 11, fusionnés dans la branche de l'auteur de cette fonctionnalité (forensicxlab/volatility3#1 et #2), pas encore dans le dépôt principal ; et une PR qui corrige windows.netscan sur Windows 11, en cours de revue dans le dépôt principal (#2064). La section Volatility 3

Méthode

  • Exécution. Par défaut, je ne lance pas les échantillons sur un vrai système. Je lis leur code (désassemblage, décompilation) et, quand il faut le voir tourner, je l'émule : le processeur est simulé, chaque appel au système est intercepté, et rien n'atteint la machine d'analyse ni le réseau. Une exception : pour le billet Lazarus sur le faux test technique, le JavaScript du malware a tourné dans l'interpréteur Node.js de la machine d'analyse, dans un contexte où les accès au disque, aux processus et au réseau étaient remplacés par des leurres qui notent chaque appel ; ce type de contexte n'est pas une barrière de sécurité complète. Plusieurs billets s'appuient aussi sur des rapports publics de bacs à sable en ligne, où des tiers ont exécuté l'échantillon.
  • Réseau. Par défaut, je ne me connecte pas aux serveurs des attaquants. Pour le contexte, je consulte en lecture seule des services publics, par exemple MalwareBazaar, VirusTotal, Triage, ThreatFox, Shodan, les journaux de certificats, le DNS, whois et des explorateurs de blockchain. Exceptions, décrites dans les billets concernés : une requête en lecture seule vers un serveur encore actif pour récupérer une charge chiffrée (Lazarus, faux test technique), des archives publiées par les attaquants sur GitHub et un paquet npm piégé, téléchargés sans être exécutés (SalatStealer, jscrambler), et des requêtes de lecture à Discord sur un webhook déjà désactivé et sur le compte lié au leurre (InfernoGrabber).
  • Échantillons. Ils viennent surtout de bases publiques comme MalwareBazaar et sont cités par leur empreinte SHA-256, ce qui permet de refaire ces analyses. Quand une victime me confie des fichiers, l'échantillon n'est jamais publié, et rien d'autre de son cas ne l'est sans son accord écrit (voir le cadre de l'aide).
  • Résultats et limites. La plupart des analyses ont une section sur leurs limites (« Portée et limites », « Limites » ou « Ce qui n'a pas été résolu »). Pour la récupération de fichiers, la page Assistance précise, famille par famille, sur quoi chaque résultat a été vérifié : un vrai fichier chiffré, le vrai code en émulation, ou des données de test.

Contact

Pour une analyse, une question sur un billet ou un échantillon à proposer : ozer0x777 [at] reversing.re. Si vos fichiers ont été chiffrés, commencez par la page Assistance.

Mentions légales

  • Éditeur et directeur de la publication : Gordon PEIRS. Site personnel édité à titre non professionnel (article 1-1, II de la loi n° 2004-575 du 21 juin 2004). Contact : ozer0x777 [at] reversing.re.
  • Hébergeur : GitHub, Inc. (GitHub Pages), 88 Colin P. Kelly Jr. St., San Francisco, CA 94107, États-Unis.
  • Licence des outils : les outils publiés avec les billets (scripts, PoC, émulateurs, décodeurs, règles YARA) sont sous licence MIT, et le texte de la licence est inclus dans chaque archive. Les copies de code malveillant analysé ne sont pas couvertes : elles appartiennent à leurs auteurs et ne sont publiées qu'à des fins d'analyse et de détection.
  • Visites : ce site ne dépose aucun cookie et ne mesure pas l'audience. Les polices sont chargées depuis Google Fonts et la page d'accueil charge deux bibliothèques depuis jsDelivr : ces services, comme l'hébergeur GitHub, reçoivent l'adresse IP du visiteur et peuvent la traiter aux États-Unis. GitHub tient des journaux techniques.
  • Vos e-mails : le responsable du traitement est Gordon PEIRS, à l'adresse ci-dessus. Quand vous m'écrivez, j'utilise votre nom, votre adresse et vos messages pour vous répondre et, pour une demande d'aide acceptée, pour suivre le cas et garder la preuve de notre accord. Base légale : mon intérêt légitime à répondre et à pouvoir prouver ce qui a été convenu, ou notre accord si vous m'écrivez à titre personnel (article 6 du RGPD). Ma messagerie est hébergée par Proton AG, en Suisse, pays reconnu par la Commission européenne comme assurant une protection adéquate. Je garde les e-mails deux ans après notre dernier échange, et cinq ans ceux qui fixent un accord d'aide, sans les fichiers analysés. Vous pouvez demander à y accéder, à les corriger, à les effacer ou vous opposer à leur traitement à la même adresse, et saisir la CNIL (cnil.fr).