Un analyste de malwares est un spécialiste de la sécurité défensive qui examine les logiciels malveillants pour déterminer ce qu'ils font, comment ils fonctionnent et comment les détecter et les neutraliser. Ce rôle se situe à l'intersection des opérations de sécurité, de la rétro-ingénierie et du renseignement sur les menaces. Lorsqu'une organisation est confrontée à un fichier suspect, à une intrusion présumée ou à une nouvelle famille de code malveillant, l'analyste le décortique pour répondre à des questions concrètes : ce que l'échantillon vise, comment il persiste, quelles données ou quels systèmes il atteint, et quels indicateurs révèlent sa présence ailleurs dans l'environnement. Le résultat est une défense concrète, comprenant des signatures de détection, des recommandations de remédiation et du renseignement sur lequel d'autres équipes peuvent agir.
Le travail quotidien s'articule autour de deux disciplines complémentaires. L'analyse statique inspecte un échantillon sans l'exécuter, en examinant sa structure, les chaînes de caractères intégrées, les métadonnées et le code pour en déduire l'intention. L'analyse dynamique observe l'échantillon pendant qu'il s'exécute dans un bac à sable isolé ou un laboratoire instrumenté, en enregistrant les fichiers qu'il manipule, les connexions réseau qu'il tente et les modifications qu'il apporte à un système. À partir de ces observations, l'analyste extrait des indicateurs de compromission, écrit une logique de détection dans des formats tels que YARA ou Sigma, et documente les capacités du malware dans des rapports destinés aux intervenants en réponse à incident, aux chasseurs de menaces et à la direction. Une grande partie du métier consiste à déjouer les techniques d'obfuscation, de packing et d'anti-analyse que les auteurs utilisent pour masquer le comportement réel d'un échantillon, ce qui rend la patience et une prise de notes méthodique aussi importantes que la compétence technique.
Le bagage qui soutient ce travail associe une solide maîtrise des rouages internes des systèmes d'exploitation, en particulier la façon dont Windows, Linux et, de plus en plus, macOS et les plateformes mobiles gèrent les processus, la mémoire et le système de fichiers, à une aisance pour lire l'assembleur et comprendre le comportement des programmes compilés. Les analystes travaillent généralement avec des désassembleurs et des débogueurs, des langages de script comme Python pour l'automatisation, et des environnements de laboratoire contrôlés qui limitent le risque lié à l'exécution de malwares actifs. Tout aussi importantes sont les habitudes de sécurité rigoureuses, car manipuler du code malveillant avec négligence peut infecter des systèmes de production ou alerter un adversaire. Une rédaction technique claire compte également, car une analyse n'est utile que si d'autres peuvent la comprendre et l'appliquer.
On entre couramment dans l'analyse de malwares après avoir bâti des bases dans un rôle de sécurité plus large, comme un poste d'analyste SOC ou l'administration de systèmes, où l'on développe une familiarité avec les comportements normaux et anormaux d'un système. D'autres arrivent d'un parcours en développement logiciel ou en rétro-ingénierie et apprennent ensuite le contexte de la sécurité. L'évolution tend à passer du tri de grands volumes d'échantillons vers une analyse manuelle plus poussée de menaces sophistiquées ou ciblées, puis vers une spécialisation dans des domaines tels qu'une plateforme particulière, une catégorie de malware comme les rançongiciels ou les chevaux de Troie bancaires, ou encore l'outillage et l'automatisation qui démultiplient la capacité d'une équipe. Les analystes expérimentés façonnent souvent la stratégie de détection, encadrent leurs collègues et contribuent par des recherches originales à la communauté au sens large.
L'analyse de malwares est étroitement liée à plusieurs rôles défensifs voisins, mais reste distincte par son objet. Un analyste SOC surveille les alertes et escalade les activités suspectes, confiant souvent les échantillons à l'analyste de malwares pour un examen plus approfondi. Un intervenant en réponse à incident gère l'ensemble du cycle de vie d'une compromission et s'appuie sur les conclusions de l'analyste pour comprendre ce qu'une intrusion a fait et comment l'éradiquer. Un chasseur de menaces recherche de manière proactive l'activité des adversaires et utilise les indicateurs et les observations comportementales issus de l'analyse pour orienter ces recherches. Dans chaque cas, l'analyste de malwares fournit la vérité de terrain sur le fonctionnement réel d'un code malveillant donné, que les rôles environnants traduisent en surveillance, en réponse et en traque.