MalwareBazaar : la base ouverte de spécimens malveillants
MalwareBazaar, la base de spécimens
MalwareBazaar est une base de données de spécimens malveillants, publiée et consultée sans authentification, qui recense plus de 2,3 millions d'échantiers de programmes hostiles déposés depuis 2015. Elle fonctionne comme une archive ouverte d'analyseurs et de défenseurs : chaque fichier suspect est enregistré avec son empreinte, son type, sa famille et la date de sa première apparition, ce qui en fait la référence qu'un analyste consulte avant de qualifier un incident. Le projet est porté par Abuse.ch, l'organisation qui exploite aussi les services urlhaus, threatfox, malwarepatrocinier et blocklist. MalwareBazaar s'appuie sur la contribution de la communauté : chercheurs indépendants, équipes de sécurité d'entreprises et fournisseurs de solutions anti-malware y alimentent les dépôts. Les trois entrées suivantes prolongent le lexique que la base met en circulation : Malware, définition et exemples ; Phishing, signification et repérage ; Hacker les jeux, le terme en clair.
Un dépôt ouvert de spécimens
Le dépôt ouvert de spécimens que constitue MalwareBazaar remplace la méthode traditionnelle du laboratoire fermé, où un analyste doit envoyer un échantillon à un prestataire avant de pouvoir en connaître le nom. Chaque spécimen y reçoit un identifiant unique de la forme hash, par exemple un SHA256 de 64 caractères en chiffres et lettres, qui sert de point d'ancrage pour toutes les consultations ultérieures. La base accepte les formats les plus courants dans le trafic hostile : exécutable Windows au format PE, fichier jar ou class pour les environnements Java, script PowerShell, paquet apk pour Android, code obfusqué JavaScript et document de bureau embarquant une macro. L'objectif n'est pas de produire une analyse complète, mais de garder une empreinte stable et consultable, de sorte que le même spécimen rapporté par deux équipes différentes renvoie au même enregistrement.
Qui alimente le dépôt
Le dépôt est alimenté par trois canaux qui se renforcent mutuellement : les dépôts manuels envoyés par un analyste depuis son poste de travail, l'ingestion automatique depuis les sources publiques d'Abuse.ch, notamment urlhaus qui signale les URLs servant à télécharger des chargeurs, et les flux de partenaires industriels qui poussent en continu les spécimens interceptés sur leurs réseaux. La contribution reste volontaire ; il n'existe ni abonnement ni licence à acquérir pour y écrire, et les métadonnées sont reprises sans transformation dans les outils de consultation.
Le modèle de données d'un spécimen
Le modèle de données d'un spécimen s'articule autour de cinq champs que tout consommateur de l'API lit avant de lancer une analyse : l'identifiant, la signature, le type, la famille et la date. Le tableau ci-dessous résume la structure telle qu'elle est exposée par l'API.
| Champ | Contenu | Usage défensif |
|---|---|---|
| sha256 | Empreinte SHA256, 64 caractères | Clé d'unicité, recherche croisée |
| signature | Nom de famille attribué, tel que Emotet, Qakbot ou TrickBot | Qualification de l'incident |
| type | Format binaire : PE, jar, apk, js, bin | Choix du moteur de décompilation |
| first_seen | Date et heure UTC de la première observation | Positionnement chronologique de la campagne |
| source | Origine du dépôt : manuel, urlhaus, partenaire | Pondération de la fiabilité |
La signature est le champ le plus disputé : un spécimen sans signature identifiée est rangé sous le libellé unknown, et le rattachement à une famille dépend du consensus des contributeurs, pas d'un algorithme unique. C'est ce qui fait de MalwareBazaar une base communautaire plutôt qu'un catalogue normalisé, et c'est aussi ce qui explique les retours d'expérience partagés sur les discordances de nommage entre deux vagues d'observation.
L'API et les flux de données
L'API de MalwareBazaar expose les mêmes cinq champs en JSON, sans clé ni requête d'authentification, et c'est ce qui la rend exploitable depuis un pipeline SIEM ou un script de triage. La consultation se fait par identifiant, par signature ou par plage de dates ; le point d'entrée standard renvoie jusqu'à 100 entrées par requête, une limite qu'un consommateur sérieux contourne en paginant par date. La base publie aussi un flux complet de nouveaux spécimens, mis à jour plusieurs fois par heure, que les outils de défense abonnent pour alimenter leurs listes de blocage. La latence moyenne entre le dépôt d'un fichier et sa visibilité dans l'API reste inférieure à 5 minutes, un ordre de grandeur que les équipes d'Abuse.ch mesurent sur un échantillon de dépôts manuels.
Consommation dans un workflow défensif
La consommation de MalwareBazaar dans un workflow défensif s'organise en trois gestes que les analystes répètent à chaque incident. Le premier consiste à récupérer l'empreinte SHA256 du fichier suspect, sur le poste, dans un journal de proxy ou dans une capture de flux. Le second consiste à interroger l'API avec cet identifiant pour obtenir la signature, le type et la date de première observation. Le troisième consiste à croiser la signature obtenue avec les sources d'indicateurs internes, afin de déterminer si le spécimen appartient à une campagne déjà en cours. Ce triptyque prend moins de 2 minutes une fois l'API encapsulée dans un script, et il élimine la majorité des faux positifs avant qu'un analyste n'ouvre un sandbox.
Le rôle du sandbox
Le sandbox n'est pas en concurrence avec MalwareBazaar : il le complète. MalwareBazaar livre l'empreinte et la signature, le sandbox livre le comportement observé en exécution, comme l'écriture dans le registre, la création de processus enfants ou la connexion sortante vers un domaine de commandement. Les deux sources se rejoignent lorsqu'un spécimen est rangé sous unknown : le sandbox fournit alors les indices comportementaux qui permettent à la communauté de proposer une signature, et le retour passe par le dépôt manuel.
Limites et points de vigilance
Les limites et points de vigilance de MalwareBazaar tiennent à trois caractéristiques structurelles du modèle communautaire. La première est la qualité variable des signatures, puisque le rattachement à une famille dépend du consensus des contributeurs et non d'une revue éditoriale. La deuxième est l'absence de garantie sur la fraîcheur : un spécimen déposé il y a 3 ans peut rester sans mise à jour de sa signature, ce qui biaise un triage basé sur la date. La troisième est la surface d'exposition des consommateurs : l'API renvoie des empreintes et des métadonnées, jamais le binaire lui-même par défaut, et c'est une bonne chose, car manipuler un spécimen vivant exige un environnement isolé. Un point de vigilance final concerne les dérivés non officiels : des sites tiers republient des extraits de MalwareBazaar sans en préciser la date de capture, et un triage construit sur de tels miroirs hérite de leurs retards sans les connaître.