Analyse et détection de logiciels de rançon

This phD thesis takes a look atransomware, presents an autonomous malwareanalysis platform and proposes countermeasure against these types of attacks. Our countermeasures are real-time and are deployed on a machine(i.e., end-hosts). In 2013, the ransomware become a hot subject of discussion again, before becomingone of the biggest cyberthreats beginning of 2015.A detailed state of the art for existing countermeasures is included in this thesis. This state of theart will help evaluate the contribution of this the-sis in regards to the existing current publications.We will also present an autonomous malware ana-lysis platform composed of bare-metal machines.Our aim is to avoid altering the behaviour of ana-lysed samples. A first countermeasure based onthe use of a cryptographic library is proposed, ho-wever it can easily be bypassed. It is why we pro-pose a second generic and agnostic countermea-sure. This time, compromission indicators are usedto analyse the behaviour of process on the filesystem. We explain how we configured this coun-termeasure in an empiric way to make it useableand effective. One of the challenge of this thesis isto collate performance, detection rate and a smallamount of false positive. To finish, results from auser experience are presented. This experienceanalyses the user’s behaviour when faced with athreat. In the final part, I propose ways to enhanceour contributions but also other avenues thet could be explored.La thèse s’intéresse aux logiciels de rançon, présente une plateforme d’analyse automatique et propose des contre-mesures. Nos contre-mesures sont conçues pour être temps réel et déployées sur une machine, c’est-à-dire “End- Hosts”. En 2013 les logiciels de rançon font de nouveau parler d’eux, pour finalement devenir une des menaces les plus sérieuses à partir de 2015. Un état de l’art détaillé des contre-mesures existantes est fourni.On peut ainsi situer les contri-butions de cette thèse par rapport à la littérature. Nous présentons également une plateforme d’analyse automatique de logiciels malveillants composée de machines nues.L’objectif est de ne pas altérer le comportement des échantillons analysés.Une première contre-mesure basée sur l’utilisation d’une librairie cryptographique par les logiciels de rançon est proposée. Celle-ci peut être facilement contournée. Nous proposons donc une seconde contre-mesure générique et agnostique. Cette fois, des indicateurs de compromission sont utilisés pour analyser le comportement des processus sur le système de fichiers. Nous détaillons comment de manière empirique nous avons paramétré cette contre-mesure pour la rendre : utilisable et efficace. Un des challenges de cette thèse étant de faire concilier performance, taux de détection et un faible taux de faux positifs. Enfin, les résultats d’une expérience utilisateur sont présentés. Cette expérience analyse le comportement des utilisateurs face à une menace. En dernière partie, nous proposons des améliorations à nos contributions mais aussi des pistes à explorer