Qu'est-ce qu'un crypter ?
Les crypters (« криптер » en russe) sont des logiciels qui chiffrent, obfusquent et manipulent un malware pour lui permettre de contourner les détections de sécurité tout en conservant ses fonctionnalités malveillantes intactes. Un crypter prend une charge utile malveillante connue — comme un infostealer, un cheval de Troie d'accès distant (RAT) ou un ransomware — l'enveloppe dans une couche qui paraît inoffensive aux antivirus et autres outils d'analyse, puis déchiffre et exécute le malware original au moment de l'exécution. Le crypter lui-même n'est pas du code malveillant ; c'est un outil. Mais entre de mauvaises mains, son rôle est de dissimuler un malware et d'en faciliter la livraison, ce qui en fait un composant fondamental de la chaîne d'approvisionnement de la cybercriminalité moderne. L'objectif ultime est d'atteindre le statut FUD, acronyme de Fully UnDetectable (totalement indétectable) : le malware empaqueté échappe à tous les éditeurs de sécurité.
Ce qu'il faut retenir
- Un crypter dissimule un malware, il n'est pas le malware : il enveloppe une charge utile existante dans du chiffrement et de l'obfuscation pour que les outils d'analyse perçoivent quelque chose de bénin.
- Le stub est le cœur d'un crypter : c'est ce composant qui déchiffre la charge utile à l'exécution et la charge en mémoire.
- Le statut FUD est l'objectif : Fully UnDetectable signifie qu'aucun moteur de sécurité ne signale le fichier empaqueté — et ce statut est toujours temporaire.
- Scantime vs runtime : les crypters scantime contournent l'analyse statique sur disque ; les crypters runtime doivent également déjouer les défenses en mémoire, comme l'EDR et l'AMSI.
- Les crypters sont un business : vendus sous forme de crypter-as-a-service sur des forums clandestins, ils permettent à des non-experts de rendre n'importe quel malware évasif via une interface simple.
À quoi sert un crypter ?
Le rôle d'un crypter est la tromperie. Les produits de sécurité modernes détectent les malwares connus par signatures (motifs correspondant à du code malveillant connu) et, de plus en plus, par analyse comportementale. Un crypter contourne cette première ligne de défense en transformant le fichier malveillant de sorte que sa signature ne corresponde plus à rien dans la base de données antivirus, tout en garantissant que le code original s'exécute exactement comme prévu une fois qu'il atteint le système ciblé.
Il procède généralement en chiffrant ou en obfusquant la charge utile et en modifiant le programme pour qu'il se déchiffre lui-même lors de l'exécution. Les crypters les plus élaborés ajoutent des couches supplémentaires : fausses icônes et métadonnées pour faire passer le fichier pour une application légitime, et techniques d'évasion qui ralentissent ou bloquent l'analyse. Comme le crypter est un module totalement indépendant, les acteurs malveillants peuvent utiliser le même pour protéger n'importe quel malware qu'ils souhaitent livrer. C'est aussi pourquoi identifier le crypter seul ne révèle pas quelle famille de malware se cache à l'intérieur.
Comment fonctionnent les crypters : le stub
Un crypter chiffre ou obfusque généralement un binaire et le modifie pour qu'il se déchiffre lors de l'exécution. Le composant chargé de déchiffrer la charge utile principale s'appelle le stub (« стаб » en russe). Lorsque le fichier empaqueté est exécuté, le stub s'active en premier, déchiffre le vrai malware en mémoire, puis le lance, souvent via des techniques comme RunPE ou le dynamic forking, où un processus légitime est démarré en état suspendu et sa mémoire est écrasée par la charge utile malveillante.
Le stub est à la fois le moteur et le talon d'Achille du crypter. Parce qu'il s'agit d'un composant statique et réutilisable, dès que les éditeurs de sécurité identifient un stub particulier, tout malware empaqueté avec lui est rapidement détecté et le crypter devient inutilisable. C'est le fait économique fondateur du monde des crypters : pour rester efficaces, les stubs doivent être modifiés et mis à jour en permanence. L'équipe Threat Detection & Research (TDR) de Sekoia distingue trois types de stubs :
- Les stubs publics (partagés) sont largement disponibles et partagés entre de nombreux utilisateurs. Gratuits ou peu coûteux, mais rapidement détectés en raison de leur diffusion massive.
- Les stubs privés sont propres à un utilisateur ou à un petit groupe, mis à jour régulièrement (souvent quotidiennement) pour garder une longueur d'avance sur les signatures antivirus. Plus coûteux, mais ils maintiennent le malware en statut FUD plus longtemps.
- Les melt stubs sont conçus pour s'autodétruire, effaçant les traces du dropper après l'exécution.
Types de crypters
Crypters scantime vs runtime
Un crypter scantime maintient la charge utile chiffrée sur le disque pour contourner l'analyse antivirus statique traditionnelle ; le fichier n'est lisible que lors de son exécution. Un crypter runtime va plus loin : il doit également déjouer les défenses qui inspectent ce qui se passe en mémoire lors de l'exécution, comme les systèmes de détection d'intrusion hôte, Windows AMSI et l'endpoint detection and response (EDR). Les crypters runtime sont plus complexes, injectant souvent du code dans des processus en cours d'exécution ou réécrivant du code pendant l'exécution pour rester cachés de la surveillance comportementale.
Crypters statiques, polymorphiques et métamorphiques
Un crypter statique utilise un stub fixe et prédéfini qui reste identique pour chaque charge utile qu'il emballe. Simple et peu coûteux, mais dès que la signature de ce stub est connue, tout ce qu'il produit est détecté. Un crypter polymorphique génère un stub unique pour chaque build, modifiant les clés, insérant du code leurre, altérant le flux de contrôle et randomisant les séquences d'appels API, de sorte qu'aucune sortie ne partage la même signature. Cela met en échec la détection par hachage et par signature. Les crypters métamorphiques vont encore plus loin en réécrivant leur propre logique. Plus le crypter est dynamique, plus il conserve longtemps son statut FUD face à l'analyse statique, bien que la détection comportementale puisse encore exposer une mutation mal implémentée.
Crypter vs packer vs protector vs loader
Ces termes se recoupent et sont souvent utilisés de manière interchangeable, mais ils décrivent des outils différents avec des objectifs principaux distincts.
Le modèle mental simplifié : le crypter est le verrou et le déguisement sur la charge utile, le packer est la boîte d'expédition compressée, le protector est le coffre-fort anti-falsification, et le loader est le vecteur de livraison. En pratique, les acteurs malveillants les combinent, et un seul outil peut brouiller les quatre catégories.
Usage légitime vs usage malveillant
La technologie est à double usage, et il vaut la peine d'être précis sur la distinction. Les techniques sous-jacentes (chiffrement, obfuscation, protection anti-falsification) ont des applications légitimes : les éditeurs de logiciels utilisent des packers et des protectors pour protéger leur propriété intellectuelle, leurs contrôles de licence et leurs modules anti-piratage. Ce qui franchit la ligne, c'est l'intention et le contexte. Un crypter commercialisé sur un forum du dark web avec la promesse explicite de rendre un malware totalement indétectable est un outil de cybercriminalité, pas un produit de protection logicielle.
Ce qui complique la détection : de nombreux protectors légitimes et crypters malveillants présentent des comportements similaires, comme l'allocation de mémoire exécutable ou le dépaquetage lors de l'exécution. C'est une source réelle de faux positifs, et l'une des raisons pour lesquelles la détection des crypters est genuinement difficile.
L'écosystème crypter-as-a-service
Le développement de crypters a donné naissance à un marché clandestin mature. Le modèle crypter-as-a-service (CaaS) a prospéré dans le sillage de la commoditisation plus large de la cybercriminalité : les clients achètent l'accès à un crypter et reçoivent des mises à jour dès qu'il est détecté, sans avoir besoin de compétences techniques approfondies. Les services liés aux crypters sont vendus depuis au moins 2011 sur des forums de cybercriminalité russophones, et apparaissent aujourd'hui sur des places de marché comme HackForums, Cracked, XSS, BreachForums, CryptBB et Exploit, généralement via des comptes dédiés à cet usage.
Les fournisseurs proposent généralement une prise en charge des exécutables Windows et vendent des accès à plusieurs niveaux, les stubs privés commandant des prix plus élevés pour une longévité FUD accrue. Comme la charge utile finale est choisie par chaque client, le même crypter peut apparaître dans des familles de malwares et des campagnes totalement différentes — ce qui est précisément ce qui rend le clustering de l'activité des crypters si difficile pour les défenseurs. Un détail révélateur : les auteurs de crypters conseillent souvent à leurs acheteurs de ne pas soumettre d'échantillons sur VirusTotal, car l'exposition publique accélère la détection et raccourcit la durée de vie utile de l'outil.
Comment détecter les crypters
Comme l'objectif d'un crypter est précisément de contourner les signatures, la détection doit aller au-delà des motifs statiques. Les approches efficaces combinent plusieurs signaux :
- Analyse comportementale : surveiller les comportements suspects à l'exécution, comme un processus qui alloue de la mémoire exécutable et y déchiffre du contenu, l'auto-injection ou l'exécution différée.
- Analyse mémoire : inspecter ce qui s'exécute réellement en mémoire une fois que le stub a déchiffré la charge utile, car le vrai malware n'est révélé qu'à l'exécution.
- Analyse entropique et heuristique : une entropie élevée dans les sections d'un fichier est un signe classique de chiffrement ou de packing, et déclenche des alertes heuristiques.
- Empreinte des stubs et réputation : les stubs publics réutilisés sont rapidement signalés par corrélation de hachage dès qu'une signature existe.
- EDR, XDR et bac à sable : la détonation d'un fichier suspect dans un environnement isolé et la corrélation des comportements sur l'ensemble de la télémétrie détectent ce que l'analyse statique ne peut pas voir.
Éclairage expert : Détecter le comportement et cartographier l'écosystème
Un crypter est conçu pour gagner le jeu de la détection statique. Le poursuivre avec des signatures seules est donc une stratégie perdante. L'ensemble de l'économie CaaS existe précisément pour garder une longueur d'avance sur les bases de données de signatures, en actualisant les stubs quotidiennement. L'équipe TDR de Sekoia a documenté ce phénomène en détail dans son rapport sur le paysage des menaces liées aux crypters. Deux approches fonctionnent réellement.
La première est la détection comportementale en mémoire. Aussi bien le payload soit-il dissimulé sur le disque, le stub doit finalement déchiffrer et exécuter le vrai malware. Ce comportement à l'exécution (allocation mémoire, injection, actions propres du payload) est détectable. La seconde, plus stratégique, est le renseignement sur l'écosystème lui-même : savoir quels crypters sont actifs, quels stubs circulent et quels groupes les utilisent.
C'est là qu'intervient l'approche de Sekoia. Comme un crypter peut envelopper n'importe quelle charge utile, identifier le crypter seul apporte peu aux défenseurs. La valeur réside dans la corrélation entre le comportement à l'exécution et le renseignement actualisé sur l'écosystème des crypters. Sekoia Defend applique environ 1 000 règles de détection mappées sur MITRE ATT&CK, ciblant les comportements d'injection de processus, de mémoire et d'exécution qu'un stub produit lors du dépaquetage, plutôt que de s'appuyer sur une signature statique du déguisement. Ces détections sont enrichies par Sekoia Intelligence, où l'équipe TDR suit activement le marché CaaS, ses stubs, ses forums et les familles de malwares qu'il livre. Chaque nouvel indicateur fait l'objet d'une rétro-chasse sur les événements historiques via les plus de 300 intégrations de la plateforme. Pour les organisations européennes, cela s'accompagne d'une posture de souveraineté des données que les généralistes américains proposent rarement.
Vous ne battrez pas un crypter à son propre jeu de signatures. Détectez le comportement qu'il ne peut pas dissimuler, et appuyez-vous sur le renseignement relatif à l'écosystème qui le produit.
FAQs
Qu'est-ce qu'un crypter ?
Un crypter est un logiciel qui chiffre et obfusque un programme malveillant afin qu'il échappe à la détection de sécurité tout en conservant ses fonctionnalités malveillantes. Il enveloppe une charge utile, telle qu'un RAT, un infostealer ou un ransomware, dans une couche qui semble bénigne pour l'antivirus, puis déchiffre et exécute le malware original au moment du lancement via un composant appelé stub.
Quelle est la différence entre un crypter et un cryptor ?
Il n'y a aucune différence significative ; « crypter » et « cryptor » sont deux orthographes pour un même concept : un outil qui chiffre ou obfusque un logiciel malveillant pour éviter sa détection. Certaines sources utilisent également les termes « packer », « protector » et « loader » comme des synonymes, bien que ceux-ci décrivent des outils techniquement distincts ayant des objectifs principaux différents.
Que signifie FUD dans le contexte des crypteurs ?
FUD signifie Fully UnDetectable (entièrement indétectable). Ce terme désigne un crypteur, ou le logiciel malveillant qu'il contient, capable d'échapper à la détection de tous les éditeurs de sécurité. Le FUD est l'objectif ultime des auteurs de logiciels malveillants, mais il reste toujours temporaire : dès que les solutions de sécurité identifient la signature du stub du crypteur, le logiciel malveillant est détecté et le crypteur doit être mis à jour pour retrouver son statut FUD.
Qu'est-ce qu'un stub dans un crypter ?
Le stub est la partie d'un programme modifié par un crypter qui déchiffre la charge utile cachée lors de l'exécution et la charge en mémoire. Il s'agit du composant central du crypter et de son principal point faible : comme le stub est statique et réutilisable, une fois qu'il est identifié par les éditeurs d'antivirus, tout logiciel malveillant utilisant ce stub est rapidement détecté, ce qui explique pourquoi les stubs sont constamment mis à jour.
Quelle est la différence entre un crypteur « scantime » et un crypteur « runtime » ?
Un crypteur « scantime » maintient la charge utile chiffrée sur le disque afin de contourner l'analyse antivirus statique ; celle-ci n'est exposée qu'au moment de l'exécution. Un crypteur « runtime » doit, en plus, déjouer les défenses en mémoire telles que les systèmes de détection d'intrusion (HIDS), l'AMSI de Windows et les solutions EDR. Il est donc plus complexe et utilise souvent l'injection de processus ou la réécriture de code lors de l'exécution.