Deux échantillons partagent le même imphash. Peut-on conclure qu'ils appartiennent à la même famille de malware ?

L'imphash est très utilisé pour regrouper des échantillons PE, et le piège d'entretien consiste à traiter une correspondance comme une attribution.

Ce qu'est un imphash

Mandiant décrit la création d'« un hash fondé sur les noms de bibliothèques/API et leur ordre précis dans l'exécutable ». Les noms sont mis en minuscules, les ordinaux résolus, les extensions des modules retirées, puis la liste ordonnée est hachée en MD5. La fonction est disponible dans la bibliothèque pefile via get_imphash().

Pourquoi ça marche

L'éditeur de liens construit la table d'adresses d'import dans un ordre qui dépend du source et de la compilation ; selon Mandiant, des fichiers de même imphash « ont la même IAT, ce qui implique qu'ils ont été compilés depuis le même code source, de la même manière ». C'est utile pour pivoter vers des échantillons proches et suivre des backdoors dans le temps.

Pourquoi ce n'est pas une preuve

Le même article précise que des fichiers correspondants ne sont « pas garantis de provenir du même groupe », par exemple si un builder commun est partagé. Pour les échantillons packés ou les utilitaires simples à peu d'imports, la valeur peut ne pas être assez unique pour l'attribution. Les attaquants peuvent aussi changer l'ordre du source ou de l'édition de liens, ou modifier le hash.

Pourquoi les distracteurs sont tentants

« Même source, même groupe » sur-interprète la source. « Identique à l'octet » le confond avec un hash de fichier.

Ce que veulent les recruteurs

« Un fort indice de regroupement, jamais une preuve seule — à corroborer par le code, l'infrastructure et le comportement. »