Un implant de red team passe la quasi-totalité de son temps à dormir, entre deux brefs réveils. Problème pour l’attaquant : pendant ce sommeil, il reste visible en mémoire, et les EDR le repèrent. Présenté à SecSea 2026, ce travail de recherche revisite une technique ancienne, Gargoyle, qui masque l’implant pendant son inactivité. Pour un défenseur, l’intérêt n’est pas l’évasion elle-même, c’est sa contre-partie : ce que l’EDR cherche en mémoire, et comment on détecte ce qui se cache.

Neuvième volet de notre couverture de SecSea 2026. Un sujet red team, que nous lisons résolument côté bleu, comme l’intervenant y invitait lui-même avec sa section de traque.

Le point de départ : la mémoire trahit l’implant

Un EDR moderne ne se contente pas de surveiller les fichiers et les processus, il scanne la mémoire. Et certaines caractéristiques y sont des signaux d’alerte, au premier rang desquels les régions de mémoire à la fois inscriptibles et exécutables. Une zone qu’on peut modifier et exécuter est le marqueur typique d’un code injecté : les EDR coupent souvent le processus en l’apercevant.

D’où le constat qui motive toute la recherche : un implant bien conçu n’est actif qu’un bref instant, puis dort longtemps. S’il reste détectable en mémoire pendant tout ce sommeil, il offre à l’EDR une large fenêtre pour le trouver.

L’idée de Gargoyle, sans la recette

La technique, publiée à l’origine en 2017, consiste à modifier les attributs de protection mémoire pendant l’inactivité : la zone redevient non exécutable et son contenu est chiffré le temps du sommeil, puis restauré juste avant le réveil. Résultat, au moment où l’EDR scanne, il ne voit plus de région suspecte.

Le travail présenté a porté cette approche sur un cadre de commande et contrôle open source moderne, une première dans cette combinaison. L’intérêt de l’intervenant était autant d’augmenter la diversité des outils (les cadres les plus répandus sont détectés en permanence) que d’explorer la résistance aux scans mémoire. Nous n’entrons volontairement pas dans l’implémentation.

La sécurité offensive est une analyse de risque : discrétion contre efficacité. Chaque gain de furtivité se paie ailleurs, en portabilité, en robustesse ou en nouveaux artefacts. C’est aussi vrai pour le défenseur, en sens inverse.

La partie qui compte pour un défenseur : la traque

L’intervenant a consacré une large part de son travail à détecter sa propre technique, et c’est là que le talk devient précieux pour une équipe bleue. Trois angles de traque ont été éprouvés :

  • La table des imports. Pour intercepter le moment du sommeil, l’implant détourne un appel système. Ce détournement est surtout visible pendant la brève phase de réveil ; une entrée qui pointe vers une adresse mémoire anormale est un indice fort d’activité suspecte.
  • Les règles de détection de contenu. Efficaces, mais fragiles : l’intervenant note qu’une règle conçue pour un seul détournement cesse de fonctionner dès qu’il y en a plusieurs. La détection par signature est un jeu du chat et de la souris permanent.
  • La pile d’appels. Pendant le sommeil, une séquence caractéristique apparaît : un appel issu d’une zone mémoire privée, puis les opérations de chiffrement et de bascule. Ce motif comportemental est plus difficile à masquer qu’une signature.

La conclusion opérationnelle est honnête : la technique a de réelles limites (portabilité très faible, dépendance à la version exacte du système, rareté des éléments nécessaires), et elle n’augmente pas les capacités offensives, elle les déguise. Autrement dit, elle complique la détection sans rien ajouter à l’attaque.

Ce qu’on en retient chez Humanix

  • La détection mémoire et comportementale est le bon terrain. Face à des techniques conçues pour tromper les signatures, ce sont l’analyse des régions mémoire et des motifs d’exécution qui tiennent. Évaluer un EDR sur ces capacités, pas sur son catalogue de signatures, est un critère de choix concret.
  • Un implant qui dort n’est pas un implant absent. Les 98 % de temps d’inactivité sont justement la fenêtre de traque. Une bonne détection cherche ce qui se cache pendant le sommeil, pas seulement l’activité réseau des réveils.
  • Tester sa défense suppose de connaître l’attaque. On ne valide une détection qu’en la confrontant à des techniques réelles, dans un cadre maîtrisé et autorisé. C’est l’esprit d’un exercice de type purple team : l’offensif au service du défensif.
  • La transparence sur les limites est une valeur. Un travail qui dit « voici comment on me détecte » vaut mieux qu’un outil vendu infaillible. C’est la culture de SecSea, et la nôtre. La preuve avant le verdict.

À retenir

  • Les EDR scannent la mémoire ; une région à la fois inscriptible et exécutable est un marqueur d’injection qui déclenche souvent l’arrêt du processus.
  • Gargoyle masque un implant en rendant sa mémoire non exécutable et chiffrée pendant le sommeil, puis en la restaurant au réveil.
  • Côté défense, trois angles de traque : table des imports (visible au réveil), règles de contenu (fragiles), et surtout motif de pile d’appels pendant le sommeil (comportemental, plus robuste).
  • La technique complique la détection sans augmenter les capacités offensives, et souffre de fortes limites de portabilité et de robustesse.

Note. Compte-rendu, à visée de sensibilisation défensive, d’une conférence de SecSea 2026 sur l’évasion mémoire et la traque associée. Nous décrivons le principe et sa détection, pas d’implémentation ni d’outil opérationnel. La technique d’origine et les cadres cités sont publics. Neuvième volet de notre couverture de l’événement. Envie de savoir ce que votre EDR voit vraiment en mémoire ? Contactez-nous.