Mémoire numérisé par la Direction des bibliothèques de l'Université de Montréal.

Cette thèse aborde trois thèmes : la formalisation de la virologie informatique, l'élaboration de protections contre l'auto-reproduction et le problème de la détection des programmes malicieux. Nous proposons une formalisation s'appuyant sur les fondements de l'informatique théorique et sur les travaux fondateurs de la discipline. Nous obtenons un formalisme souple où le théorème de récursion prend le rôle d'un compilateur de virus informatiques. Ce théorème trouve alors la place qui lui manquait encore dans la théorie de la programmation. Ce formalisme nous fournit des bases suffisamment solides pour étudier de nouvelles stratégies de protection. Dans un premier temps nous nous intéressons aux relations qu'entretiennent auto-reproduction et capacités de calcul afin d'identifier un modèle raisonnable où l'auto-reproduction est impossible. Ensuite nous exposons deux stratégies construite sur la complexité de Kolmogorov, un outil de l'informatique théorique reliant la sémantique et la syntaxe concrète d'un langage de programmation. Le thème de la détection comporte deux parties. La première traite de la difficulté de la détection des virus informatiques : nous identifions les classes de la hiérarchie arithmétique correspondant à différents scénarios d'infections informatiques. La seconde partie aborde des aspects plus pratiques en décrivant l'architecture d'un détecteur de programmes malicieux conçu durant cette thèse. Ce prototype utilise une détection morphologique, l'idée est de reconnaître la forme des programmes malicieux en utilisant des critères syntaxiques et sémantiques / This dissertation tackles three topics: the formalization of the computer virology, the construction of protections against self-reproduction and the issue of malware detection. We propose a formalization that is based over computer science foundations and over the founder works of the discipline. We obtain a generic framework where the recursion theorem takes a key role. This theorem is seen as computer virus compiler, this approach provides a new programming perspective. The sound basis of this framework allows to study new protection strategies. First, we analyze the relations between the notion of self-reproduction and the computation capabilities. We aims at identifying a reasonable model of computation where self-reproduction is impossible. Then we propose two defense strategies based on the Kolmogorov complexity, a tool which relates the semantics to the concrete syntax of programming languages. We treat the issue of malware detection in two steps. First, we study the difficulty related to the detection of several scenarios of computer infection. Second, we present a malware detector that was designed during the thesis. It is based on a morphological detection which allies syntaxical and semantical criteria to identify the shapes of malware

L'objectif de cette thèse est le développement de méthodes de compréhension des logiciels malveillants, afin d'aider l'analyste humain à mieux appréhender cette menace. La première réalisation de cette thèse est une analyse à grande échelle et en profondeur des protections de logiciels malveillants. Plus précisément, nous avons étudié des centaines d'exemplaires de logiciels malveillants, soigneusement sélectionnés pour leur dangerosité. En mesurant de façon automatique un ensemble de caractéristiques originales, nous avons pu alors montrer l'existence d'un modèle de protection particulièrement prévalent dans ces programmes, qui est basé sur l'auto modification du code et sur une limite stricte entre code de protection et code utile. Ensuite, nous avons développé une méthode d'identification d'implémentations cryptographiques adaptée aux programmes en langage machine protégés. Nous avons validé notre approche en identifiant de nombreuses implémentations d'algorithmes cryptographiques -- dont la majorité sont complètement invisibles pour les outils existants --, et ceci en particulier dans des protections singulièrement obscures de logiciels malveillants. Finalement, nous avons développé ce qui est, à notre connaissance, le premier environnement d'émulation de réseaux de machines infectées avec plusieurs milliers de machines. Grâce à cela, nous avons montré que l'exploitation d'une vulnérabilité du protocole pair-à-pair du réseau Waledac permet de prendre son contrôle / The main goal of this thesis is the development of malware analysis methods to help human analysts better comprehend the threat it represents. The first achievement in this thesis is the large-scale and in-depth analysis of malware protection techniques. In particular, we have studied hundreds of malware samples, carefully selected according to their threat level. By automatically measuring a set of original characteristics, we have been able to demonstrate the existence of a particularly prevalent model of protection in these programmes that is based on self-modifying code and on a strict delimitation between protection code and payload code. Then, we have developed an identification method for cryptographic implementations adapted to protected machine language programmes. We have validated our approach by identifying several implementations of cryptographic algorithms ---the majority unidentified by existing tools--- and this even in particularly obscure malware protection schemes. Finally, we have developed what is, to our knowledge, the first emulation environment for botnets involving several thousands of machines. Thanks to this, we were able to validate the viability of the use of a vulnerability in the peer-to-peer protocol in the Waledac botnet to take over this network

L'objectif de cette thèse est le développement de méthodes de compréhension des logiciels malveillants, afin d'aider l'analyste humain à mieux appréhender cette menace. La première réalisation de cette thèse est une analyse à grande échelle et en profondeur des protections de logiciels malveillants. Plus précisément, nous avons étudié des centaines d'exemplaires de logiciels malveillants, soigneusement sélectionnés pour leur dangerosité. En mesurant de façon automatique un ensemble de caractéristiques originales, nous avons pu alors montrer l'existence d'un modèle de protection particulièrement prévalent dans ces programmes, qui est basé sur l'auto modification du code et sur une limite stricte entre code de protection et code utile. Ensuite, nous avons développé une méthode d'identification d'implémentations cryptographiques adaptée aux programmes en langage machine protégés. Nous avons validé notre approche en identifiant de nombreuses implémentations d'algorithmes cryptographiques -- dont la majorité sont complètement invisibles pour les outils existants --, et ceci en particulier dans des protections singulièrement obscures de logiciels malveillants. Finalement, nous avons développé ce qui est, à notre connaissance, le premier environnement d'émulation de réseaux de machines infectées avec plusieurs milliers de machines. Grâce à cela, nous avons montré que l'exploitation d'une vulnérabilité du protocole pair-à-pair du réseau Waledac permet de prendre son contrôle.

Nous avons établi, dans la base des descriptions des menaces informatiques Threat Explorer de Symantec un groupe de descriptions répertoriées virus et nous avons essayé de les traduire en lituanien en nous servant des sources terminographiques qui sont à disposition en lituanien et qui datent de 1971 à 2012. Très vite, nous nous sommes rendus compte qu’un groupe assez important de termes anglais et français désignant différents types de virus informatiques n’avaient pas d’équivalents lituaniens. De même, nous avons observé que, pendant une trentaine d’années de son existence, le concept de virus informatique a toujours été confondu avec d’autres concepts de même niveau tels que ver informatique, ou tout court ver, et cheval de Troie. Ces confusions ont engendré un échec de traduction des descriptions mentionnées précédemment et nous ont ammené vers l’idée de rédiger un travail, la présente thèse, afin d’identifier les raisons de l’impossibilité de nous fier aux sources terminologiques lituaniennes, de les analyser pour ensuite proposer des solutions fondées sur les conclusions d’une étude scientifique. / Sąvoka kompiuterių virusas gyvuoja nuo 1984 m., tačiau net ir praėjus trims dešimtmečiams lietuvių kalboje ji vis dar nėra pakankamai diferencijuota, tebėra painiojama su kitomis kompiuterių saugumui priskiriamomis sąvokomis, dažniausiai kirminu ir Trojos arkliu. Iki šiol nebuvo atlikta išsamių lingvistinių nagrinėjamos sąvokos ir jos žymiklio tyrimų lietuvių kalba. Šios disertacijos tikslas – aprašyti sąvokos kompiuterių virusas semantinį lauką, kurio pagrindas yra termino kompiuterių virusas mikrosistema. Tirta 919 Symantec kompiuterių grėsmių banke Threat Explorer paskelbtų kompiuterių grėsmių aprašų su žyma Virus, Threat Explorer partnerių terminografiniai ištekliai ir Lietuvoje nuo 1984 m. iki 2006 m. išleisti kompiuterijos terminų žodynai bei tuo pačiu laikotarpiu paskelbti analitiniai straipsniai apie kompiuterijos leksiką Lietuvos mokslo leidiniuose. Sąvokos raidai įvertinti įtraukta papildomų terminografinių išteklių lietuvių ir prancūzų kalbomis. Visi surinkti terminologiniai duomenys apie nagrinėjamos sąvokos semantinį lauką, kurį šiame darbe sudaro 177 sąvokos, tirti taikant šiuos metodus: lyginamąjį, aprašomąjį, komponentinės analizės ir aukštynkryptės analizės metodais. Tyrimo metu paaiškėjo, kad disertacijoje nagrinėjamos sąvokos semantinį lauką dėl jį sudarančių sąvokų tarpusavio hierarchinių santykių galima gana tiksliai apibrėžti. Toks semantinių laukų teorijos taikymas terminologiniams duomenims, iš kurių svarbiausiu laikoma intensinė termino apibrėžtis... [toliau žr. visą tekstą] / The concept “computer virus” has been in existence since 1984. However despite the fact that almost 30 years have passed, it is not properly defined in Lithuanian sources and is still confused with other concepts tied to computer security, most often with concepts such as “worms” and “Trojan horses.” There has never been comprehensive linguistic research carried out on this concept and its signifier in Lithuanian. The aim of this dissertation is to describe the semantic field of the concept “computer virus,” the basis of which is the microsystem of the term “computer virus.” The following was used for the research: a total of 919 computer threat descriptions included in the Symantec computer threat bank that are tagged virus, the terminographical resources of Threat Explorer partners and computer terminology dictionaries published in Lithuania from 1984 to 2006 as well as analytical articles about computer terminology in Lithuanian scientific journals during the same period. Additional terminographical resources in Lithuanian and French are included in the research to assess and analyze the development of this concept. All of the terminological date that was collected concerning the semantic field of the concept in question (comprised of 177 concepts in this work) was analysed using the following methods: the comparative method, descriptive method, componential analysis and uplink analysis. As the research was carried out, it became clear that the semantic field of the... [to full text]