Question implémentation de malware

Bonjour,

Je suis en université d'informatique et je travaille actuellement sur un document exposant l'intérêt des outils Sysinternals dans la détection de malwares.
Mon prof m'avait parlé d'un mécanisme utilisé dans un certain nombre de malwares consistant à avoir des processus concurrents qui surveillent l'activité du programme principal afin que si celui-ci est arrêté, les processus observateurs le relance, ainsi il est nécessaire de trouver tous les processus liés au malware, les suspendre puis les arrêter pour stopper le malware.
Je ne retrouve plus le nom de ce mécanisme et j'aimerais en parler dans mon exposé.

Merci d'avance pour vos réponses.

Bonjour, un peu tard et je ne suis pas certain, mais je dirais que c'est le polymorphisme.
Une boucle (ou plusieurs) infinie qui s'assure de la présence du fichiers principal si il est "arrêter" une variante recompiler et "fud" est automatiquement réinstaller via un téléchargement dérobé.

Cela peut être fait en injectant le processus dans un autre légitime.

Voici un lien qui est bien fait pour se documenter Zenk_pdf

Le mécanisme de chien de garde ou watchdog logiciel consiste à surveiller un processus critique pour le relancer s'il est arrêté. De tels mécanismes sont également utilisés par certains malwares pour garantir une exécution persistante sans nécessiter de redémarrage du système hôte. En effet, les techniques de persistance habituelles ne s'occupent que du chargement au démarrage du système (ou d'un exécutable infecté). En comparaison, le watchdog garantit une persistance plus robuste au runtime.

Cependant, j'ai également rencontré une APT faisant exactement le contraire. Il s'agissait de supprimer l'instance en cours d'exécution lorsqu'une menace de découverte survenait afin de fournir une grande furtivité. Les compagnons du malware Regin (développé par le GCHQ ?) s'exécutant sur des systèmes Unix telecom effectuaient une surveillance pour supprimer le malware en mémoire mais aussi le binaire pour empêcher sa découverte... Seuls les IOC permettaient d'identifier la compromission d'un système.