ThreatFire est un logiciel de sécurité informatique pour Microsoft Windows fondé sur la détection comportementale des programmes malveillants plutôt que sur la reconnaissance de signatures virales. Conçu pour fonctionner en complément d'un antivirus traditionnel, il surveille en temps réel l'activité des processus du système afin de repérer et de bloquer des menaces inconnues (« attaques du jour zéro ») sans attendre la mise à jour d'une base de signatures.
Le produit trouve son origine dans Cyberhawk, un logiciel développé par la société américaine Novatix Corporation, dont la technologie et l'équipe sont rachetées en 2007 par l'éditeur australien PC Tools, qui le renomme ThreatFire. PC Tools est à son tour racheté par Symantec en 2008. Distribué gratuitement (une version payante, ThreatFire Pro, existe également) et intégré à la suite PC Tools Internet Security sous le nom de « Behavior Guard », ThreatFire est remarqué au tournant des années 2010 pour l'efficacité de son moteur comportemental, avant d'être discrètement abandonné par Symantec en mai 2013 avec le reste du catalogue de sécurité issu de PC Tools.
Bien que le produit n'ait plus été maintenu depuis plus d'une décennie, son pilote noyau, , reste doté d'une signature numérique valide et a par la suite été identifié, au milieu des années 2020, comme l'un des nombreux « pilotes vulnérables » (technique dite Bring Your Own Vulnerable Driver, BYOVD) exploités par des groupes de rançongiciels pour désactiver les logiciels de détection et de réponse aux incidents (EDR) avant de déployer leur charge utile.
Histoire
Origines : Novatix et Cyberhawk La technologie à l'origine de ThreatFire est développée par Novatix Corporation, une société basée à Boulder, dans le Colorado, dirigée par Mike Kronenberg. Novatix commercialise un logiciel nommé Cyberhawk, doté d'une technologie de protection comportementale en temps réel baptisée ActiveDefense (alors présentée comme « en cours de dépôt de brevet »), destinée à détecter virus, vers, chevaux de Troie, rootkits et attaques par dépassement de tampon sans recourir à des signatures. Le produit se situe dans la vague des logiciels de prévention comportementale (HIPS) du milieu des années 2000 : l'organisme de test AV-Comparatives inclut ainsi « CyberHawk 1.2 » dans une étude comparative de ces technologies publiée en octobre 2006, le décrivant comme simple à installer et à utiliser, ne nécessitant aucune configuration, et protégeant contre la plupart des menaces testées (un seul échantillon non détecté).
Le 29 mai 2007, l'éditeur australien de logiciels de sécurité PC Tools, dirigé par son fondateur et directeur général Simon Clausen, annonce le rachat de la technologie Cyberhawk et de l'équipe de Novatix, ainsi que la création d'un centre de recherche avancée à Boulder. L'équipe de développement reste sur place, ce site devenant le nouveau centre de recherche de PC Tools sur la détection comportementale. À l'issue du rachat, Mike Kronenberg devient directeur technique des activités nord-américaines de PC Tools.
Naissance de ThreatFire À l'été 2007, PC Tools rebaptise le produit ThreatFire, lui donnant une nouvelle interface et l'intégrant à sa gamme ; la version 3.0.3.0, publiée fin août 2007, marque officiellement l'abandon du nom Cyberhawk. Le produit est alors décliné en deux versions : ThreatFire Free Edition, gratuite pour un usage personnel, et ThreatFire Pro, une version payante ajoutant un moteur d'analyse antivirus classique à la demande (issu de PC Tools AntiVirus) ainsi que des règles de personnalisation plus poussées et un support téléphonique prioritaire.
Le lancement public du produit est largement relayé par la presse spécialisée en octobre 2007 ; Simon Clausen y présente ThreatFire comme l'un des rares outils capables de contrer le ver Storm sans signature dédiée, et affirme que des tests internes montraient que la technologie ActiveDefense pouvait doubler le niveau de protection offert par un antivirus traditionnel utilisé seul. Ces arguments d'efficacité sont repris sur le site officiel, qui annonce « jusqu'à 243 % de protection en plus » lorsque ThreatFire est associé à un antivirus classique.
En parallèle, PC Tools intègre également ThreatExpert, un système automatisé d'analyse de programmes malveillants (« Automated Threat Analysis System ») créé par le chercheur en sécurité Sergei Shevchenko et racheté par PC Tools en 2006. ThreatFire s'appuie sur ThreatExpert pour fournir à l'utilisateur des informations détaillées sur chaque menace détectée, un lien s'ouvrant automatiquement vers la fiche correspondante du site ThreatExpert.
Rachat par Symantec Le 18 août 2008, Symantec Corporation annonce un accord pour racheter PC Tools, rachat finalisé le 6 octobre 2008 pour environ 262 millions de dollars américains. PC Tools continue dans un premier temps à fonctionner de façon largement autonome au sein de Symantec, et ThreatFire demeure disponible gratuitement, séparément et au sein de la suite PC Tools Internet Security, où le moteur comportemental est proposé sous l'appellation « Behavior Guard », l'un des modules du système de protection en temps réel « IntelliGuard » de la suite, aux côtés de modules tels que Browser Guard, Network Guard, File Guard ou Email Guard.
Après le rachat, le rythme des mises à jour de ThreatFire se ralentit sensiblement. Plusieurs utilisateurs et commentateurs relèvent, à partir de 2011, des correctifs de plus en plus espacés et le fait que la dernière version en date n'est parfois disponible que via le forum d'utilisateurs de PC Tools plutôt que sur la page de téléchargement officielle. La toute dernière version connue du produit, la 4.7.0.53, est mise en ligne le 14 janvier 2013.
Arrêt du produit Le 18 mai 2013, Symantec met fin, sans grande annonce officielle, à l'ensemble du catalogue de sécurité issu de PC Tools : PC Tools Internet Security, Spyware Doctor, Spyware Doctor with AntiVirus et ThreatFire cessent d'être commercialisés et disparaissent progressivement des radars de la presse spécialisée, qui ne relève l'arrêt que quelques jours plus tard. Le site officiel threatfire.com finit par cesser de fonctionner dans les mois qui suivent. Le service ThreatExpert, qui n'était de toute façon plus activement maintenu depuis la fin des années 2000, reste lui aussi accessible quelque temps avant de disparaître à son tour.
Technologie
ActiveDefense Le cœur technique de ThreatFire est la technologie ActiveDefense, héritée de Cyberhawk. Plutôt que de comparer le contenu des fichiers à une base de signatures, elle place des points d'interception (hooks) sur un ensemble d'appels système (API en mode utilisateur ou services en mode noyau) qui ne sont pas eux-mêmes liés au désempaquetage d'un exécutable, mais qui apparaissent typiquement au tout début de son exécution effective, par exemple CreateMutex, RegOpenKey, WSAStartup, CreateService ou WinExec. En interceptant ces appels, le moteur détermine le moment optimal, après que le code a été intégralement désempaqueté en mémoire mais avant que sa charge malveillante ne s'exécute réellement, pour suspendre temporairement le processus concerné et analyser son contenu en mémoire à l'aide de signatures génériques et d'une analyse heuristique pondérée. Selon le degré de dangerosité détecté, le moteur peut alors laisser reprendre l'exécution, mettre en quarantaine ou terminer le processus, suspendre certains de ses threads, supprimer le fichier associé ou nettoyer les entrées de la base de registre qui s'y rattachent.
Cette approche, décrite dans un brevet déposé en 2008 par Sergei Shevchenko pour le compte de PC Tools Technology Pty Ltd (et cédé à Symantec Corporation la même année), est notamment présentée comme efficace contre des menaces difficiles à intercepter par les moyens classiques, comme le rootkit Rustock ou la famille de bots Agobot/Gaobot, dont les nombreuses variantes recompilées avec de nouveaux empaqueteurs échappent facilement à la détection par signature une fois le fichier chiffré, mais deviennent identifiables une fois exécutées en mémoire. Le service ThreatExpert reposait sur une logique de détection en mémoire comparable, son « Memory Scanner » cherchant à repérer, une fois décryptés en mémoire vive, des codes polymorphes appartenant à des familles telles que Storm ou Rustock.
Interface et fonctionnement Une fois installé, ThreatFire fonctionne principalement en arrière-plan, sans nécessiter de configuration de la part de l'utilisateur. L'interface s'articule autour de plusieurs sections : le lancement d'analyses ponctuelles (« Start Scan »), un module de gestion des menaces (historique des éléments autorisés ou bloqués, gestion de la quarantaine, journal de protection), des outils avancés réservés aux utilisateurs expérimentés (règles personnalisées, moniteur d'activité système) et un panneau de réglages permettant notamment d'ajuster le niveau de sensibilité de la détection sur une échelle de un à cinq (le niveau trois étant recommandé par défaut) et de planifier des analyses anti-rootkit régulières.
Lorsqu'une activité suspecte est détectée, une alerte s'affiche, dont la couleur indique le degré de gravité : le gris signale un logiciel potentiellement indésirable, le jaune une activité potentiellement malveillante nécessitant une décision de l'utilisateur, et le rouge une application malveillante automatiquement désactivée et mise en quarantaine. Le logiciel s'appuie par ailleurs sur une communauté d'utilisateurs volontaires, la « ThreatFire Secure Community » : les alertes suspectes déclenchées sur les postes participants sont remontées de façon confidentielle à PC Tools (nature de l'alerte, historique des évènements, décision prise et copie du fichier en cause) pour alimenter la recherche de nouvelles menaces, une carte mondiale affichant les détections récentes.
Sur le plan technique, le produit s'appuie sur un pilote en mode noyau, (ThreatFire System Monitor), généralement installé dans un dossier tel que C:\Program Files\PC Tools Security\TFEngine\, ainsi que sur plusieurs processus en mode utilisateur (dont un service Windows nommé « ThreatFire »). Selon une analyse technique publiée sur le forum KernelMode.info, le pilote place des points d'interception sur des routines de la base de registre et sur NtTerminateProcess (pour empêcher sa propre fermeture), tandis qu'une bibliothèque TfWah.dll est injectée dans chaque processus démarrant pour y effectuer un hooking étendu d'API en mode utilisateur. ThreatFire s'annonce en outre auprès du Centre de sécurité Windows comme un logiciel antivirus à part entière, via l'interface WMI standard de Windows (fournisseur ROOT\SecurityCenter2, classe AntiVirusProduct).
Éditions et intégration ThreatFire est proposé sous deux formes : une édition gratuite pour l'usage personnel, et une édition payante (« Pro », puis licence commerciale pour l'usage professionnel) qui ajoute un moteur d'analyse antivirus classique à la demande, des règles de personnalisation plus fines et un support téléphonique prioritaire, les deux éditions reposant sur le même moteur ActiveDefense. Les documents officiels de 2011 ne mettent toutefois plus en avant qu'une version gratuite « pour tous les particuliers ». Le produit est également intégré, sous le nom « Behavior Guard », à la suite payante PC Tools Internet Security, où il complète des modules de protection plus classiques (pare-feu, antispam, filtrage web). L'interface est proposée en plusieurs langues, dont le français, l'allemand, l'espagnol, l'italien, le polonais, le portugais du Brésil et le chinois simplifié, en partie grâce à un programme de traduction communautaire.
Accueil