Un rétro-ingénieur de malwares étudie les logiciels malveillants afin de déterminer ce qu'ils font, comment ils le font et ce qu'ils révèlent sur l'acteur qui se cache derrière. À partir d'un échantillon capturé, l'analyste reconstruit la logique et le comportement du programme sans disposer du code source ni de documentation. Le livrable n'est pas l'échantillon lui-même, mais la compréhension que l'on en tire : comment le code persiste sur un hôte, comment il communique avec son infrastructure de commande, quelles données il cible, et quels traits observables permettent de le détecter ou de le bloquer ailleurs. Ce rôle occupe le centre technique de la défense contre les menaces, en traduisant des binaires opaques en connaissances exploitables pour les ingénieurs de détection, les intervenants en réponse aux incidents et les équipes de renseignement sur les menaces.
Le travail quotidien combine analyse statique et analyse dynamique. L'analyse statique examine un échantillon au repos, en inspectant sa structure, les chaînes de caractères qui y sont intégrées, les fonctions importées et les instructions désassemblées ou décompilées afin de cartographier ses capacités. L'analyse dynamique exécute l'échantillon dans un bac à sable isolé et instrumenté pour observer son comportement en direct, notamment les modifications de fichiers et de registre, l'activité des processus et le trafic réseau. Une grande part de l'effort consiste à déjouer les défenses que les auteurs intègrent, telles que le packing, le chiffrement, l'obfuscation et les vérifications qui détectent les environnements d'analyse. Une mission type se conclut par un rapport écrit et un ensemble d'indicateurs de compromission et de signatures de détection, souvent exprimés sous forme de règles YARA ou équivalentes, qui permettent à une organisation de retrouver des activités liées sur l'ensemble de son parc.
Le rôle exige une base solide sur la façon dont les ordinateurs exécutent le code. La maîtrise du langage assembleur, des mécanismes internes des systèmes d'exploitation, des formats de fichiers exécutables et de l'agencement de la mémoire est essentielle, car un rétro-ingénieur raisonne au niveau de la machine plutôt qu'à celui de l'application. L'aisance avec les débogueurs, les désassembleurs et les décompilateurs est attendue, de même que des compétences en scripting, couramment en Python, pour automatiser les analyses répétitives. Au-delà des outils, le travail récompense la patience, une documentation méthodique et un état d'esprit soucieux de la sécurité lorsqu'il s'agit de manipuler du code malveillant actif en toute sûreté. La connaissance des protocoles réseau et de la cryptographie aide à comprendre comment les échantillons dissimulent leurs communications et protègent leurs charges utiles.
On accède généralement à ce rôle après avoir acquis de l'expérience dans des domaines techniques voisins, tels que le développement logiciel, la programmation système, la réponse aux incidents ou le triage général de malwares. Beaucoup commencent par analyser des échantillons simples et par automatiser des parties d'une chaîne de triage avant de progresser vers des menaces fortement obfusquées ou ciblées. L'évolution suit tantôt un approfondissement de la spécialisation, par exemple dans le firmware, les plateformes mobiles ou les techniques propres à certains acteurs de la menace, tantôt un élargissement vers des rôles de direction et de recherche en renseignement sur les menaces. Les publications d'analyses, les épreuves de capture the flag et les contributions à des outils open source sont des moyens bien établis de développer et de démontrer les compétences que ce rôle requiert.
Ce rôle se distingue de ses voisins tout en les soutenant. Un analyste en investigation numérique reconstitue ce qui s'est produit sur un système ou un support précis, et un intervenant en réponse aux incidents coordonne le confinement et la reprise au cours d'un événement, chacun pouvant confier un échantillon récupéré au rétro-ingénieur pour une analyse approfondie. Un spécialiste eDiscovery travaille avec des informations stockées sous forme électronique dans un cadre juridique plutôt qu'avec du code malveillant, et un responsable d'investigation numérique supervise les dossiers, les effectifs et les processus plutôt que de réaliser la dissection technique. La contribution du rétro-ingénieur réside dans la compréhension détaillée du code malveillant lui-même, qui éclaire et renforce le travail de tous les autres.