La technique RunPE, également connue sous le nom de RunPortableExecutable, est une technique basée sur Windows utilisée pour remplacer la fonctionnalité d'un binaire Windows légitime par un code malveillant. Il est largement utilisé par des acteurs malveillants pour échapper à la détection et garder leurs activités malveillantes sous le radar.
La technique RunPE fonctionne en chargeant le programme malveillant en mémoire puis en utilisant le PEB (une structure de données mémoire utilisée par Windows) pour modifier le programme d'origine. Il est généralement utilisé pour injecter du code malveillant afin de remplacer le contenu original du programme ainsi que pour exécuter la charge utile incluse dans le code malveillant. Afin d'échapper davantage à la détection, le code malveillant est généralement déguisé en binaire Windows légitime, tel qu'un exécutable ou une bibliothèque dynamique.
La combinaison de vitesse et de furtivité de la technique RunPE en fait une technique couramment utilisée par les acteurs malveillants. Il a été utilisé dans de nombreuses campagnes malveillantes telles que Zeus et les ransomwares. Il est également utilisé pour propager des ensembles d'exécutables malveillants, des e-mails malveillants et d'autres objets malveillants. En outre, il est également utilisé dans de nombreuses autres formes de logiciels malveillants tels que les enregistreurs de frappe, les téléchargeurs et les voleurs d'informations.
En raison de son efficacité et de son utilité, la technique RunPE est souvent considérée comme un défi de sécurité pour les solutions antivirus conventionnelles et même malgré les mesures correctives de certaines signatures, ainsi que la prévention des exploits, certains acteurs malveillants ont pu passer inaperçus.
