VirusTotal Investigation
Investigation d’un fichier suspect à l’aide de VirusTotal afin d’examiner son empreinte numérique, confronter les résultats de plusieurs moteurs de sécurité, rechercher des indicateurs de compromission et disposer d’éléments supplémentaires pour évaluer le niveau de risque dans un contexte SOC.
sample_file
Static reputation investigation
[hash du fichier analysé]
Investiguer un fichier avant de lui faire confiance.
Lorsqu’un fichier paraît suspect, son analyse doit s’appuyer sur plusieurs éléments et non sur une simple impression.
VirusTotal permet de rechercher ou soumettre un artefact afin d’obtenir des informations issues de plusieurs sources et moteurs de sécurité.
L’objectif du projet est d’utiliser ces informations pour examiner un fichier suspect de manière structurée : identification de son empreinte, étude des résultats disponibles, recherche d’indicateurs associés et contextualisation des observations.
Dans une logique SOC, le résultat obtenu constitue un élément d’aide à l’investigation. Il doit être corrélé avec le contexte, l’origine du fichier et les autres données disponibles.
Une investigation en cinq étapes.
Identifier l’artefact
Déterminer quel fichier doit être examiné et récupérer les informations disponibles.
Vérifier l’empreinte
Utiliser un hash pour rechercher précisément le même artefact dans les données disponibles.
Examiner les résultats
Étudier les détections, métadonnées et informations proposées par la plateforme.
Corréler les IOC
Rechercher les indicateurs ou relations utiles pour enrichir l’investigation.
Évaluer le risque
Utiliser l’ensemble des éléments collectés pour déterminer les actions suivantes.
Identifier un fichier par son empreinte.
Un hash permet de représenter un fichier par une valeur calculée à partir de son contenu.
sha256sum suspicious_file
[SHA-256 du fichier analysé]
Identifier sans ambiguïté
Deux fichiers portant le même nom ne sont pas nécessairement identiques. L’empreinte permet une identification beaucoup plus précise.
Rechercher avant de soumettre
Lorsqu’une empreinte est déjà connue, elle peut être recherchée afin de vérifier si l’artefact possède déjà un historique d’analyse.
Corréler les événements
Un même hash retrouvé dans plusieurs événements peut faciliter le rapprochement entre différentes observations.
Ne pas se limiter à un seul indicateur.
L’analyse doit combiner plusieurs informations plutôt que transformer un seul résultat en verdict automatique.
Résultats des moteurs
Examiner les classifications disponibles et repérer les divergences entre les différents moteurs.
Informations du fichier
Étudier les caractéristiques permettant de mieux comprendre la nature de l’artefact analysé.
Éléments associés
Rechercher les relations pertinentes pouvant enrichir la compréhension du fichier ou de son contexte.
Contexte de l’incident
Comparer les informations VirusTotal avec ce qui est observé dans l’environnement concerné.
Passer du fichier aux IOC.
Les indicateurs permettent de rapprocher l’artefact étudié d’autres données observées durant une investigation.
Empreinte du fichier
Valeur permettant de rechercher précisément le même artefact.
Domaine
Un domaine associé à une activité peut devenir un élément de corrélation.
Adresse IP
Une adresse réseau observée peut être comparée à d’autres événements de sécurité.
URL associée
Une adresse web peut servir d’indicateur lorsqu’elle apparaît dans une activité suspecte.
Relier les informations entre elles.
Transformer l’analyse en décision.
VirusTotal fournit des éléments d’investigation. La décision finale dépend également du contexte opérationnel.
Vérifier l’origine
Comprendre comment le fichier est arrivé dans l’environnement.
Comparer les résultats
Examiner les différents signaux plutôt qu’un résultat isolé.
Rechercher les IOC
Identifier d’autres éléments pouvant être recherchés dans l’environnement.
Déterminer l’exposition
Vérifier si l’artefact a été exécuté ou simplement reçu.
Prioriser
Utiliser les observations pour déterminer le niveau d’attention nécessaire.
Documenter
Conserver les éléments utiles pour assurer la traçabilité de l’investigation.
Une lecture méthodique.
Nom, type et informations disponibles sur l’artefact.
Rechercher l’empreinte dans VirusTotal.
Comparer les informations disponibles sur la plateforme.
Identifier les éléments pouvant enrichir l’investigation.
Comparer les résultats aux événements observés.
Conserver les éléments justifiant l’évaluation réalisée.
Un score ne remplace pas une investigation.
Ce projet met en pratique une approche de threat intelligence où les résultats techniques doivent être interprétés, comparés et contextualisés avant de conclure sur un fichier suspect.
Rechercher un fichier à partir de son hash.
Lire des résultats provenant de plusieurs moteurs de sécurité.
Identifier les indicateurs utiles à une investigation.
Corréler un artefact avec des informations complémentaires.
Contextualiser les résultats avant de prendre une décision.
Compétences mobilisées.
Identifier. Corréler. Contextualiser.
VirusTotal constitue une source précieuse pour enrichir l’analyse d’un artefact suspect. L’intérêt principal réside cependant dans la capacité de l’analyste à confronter les différentes informations, rechercher les indicateurs associés et replacer les résultats dans le contexte réel de l’incident.