Cas d’usage · Exécutable Windows

Un .exe vous fait douter ?
Ne le lancez pas pour savoir.

SandGuard transforme un exécutable inconnu en une réponse exploitable : niveau de risque, signaux convergents, identité du fichier, détections, IOC et éléments techniques utiles pour décider s’il faut bloquer, supprimer ou poursuivre l’investigation.

Analyser un fichier Découvrir SandGuard
Verdict rapide Commencez par la réponse, pas par 200 lignes techniques.
Contexte exploitable Comprenez pourquoi le fichier mérite votre attention.
Analyse privée Évitez d’exposer inutilement un échantillon sensible.
analysis / facture_client.exe ANALYSÉ
Verdict SandGuard Risque élevé

Plusieurs familles de signaux convergent vers un fichier malveillant.

92/100
Machine Learning0.94
YARA / viral4 signaux
IOC7 extraits
IDENTITÉSignature absente · Vendor incohérentsuspect
STATICRegistry + imports sensiblesdétecté
CODEAppels API à investiguerà vérifier
Action recommandée Ne pas exécuter. Isoler le fichier et pivoter sur les IOC extraits.
ML
ArkGuardProbabilité malveillante élevée
IOC
EnrichissementIndicateurs prêts à investiguer
Du doute à la décision
01QualifierLe fichier est-il réellement risqué ?
02ComprendreQuels signaux expliquent ce verdict ?
03AgirQuels IOC et éléments faut-il rechercher ensuite ?
Un .exe n’est jamais juste “bon” ou “mauvais”

Le vrai besoin, c’est de savoir pourquoi vous pouvez lui faire confiance — ou non.

Un antivirus peut ne rien détecter. Un nom de fichier peut sembler légitime. Une signature peut être absente sans être malveillante. SandGuard croise plusieurs angles d’analyse pour éviter de faire reposer la décision sur un seul indicateur.

01 Machine Learning

Un premier signal pour savoir où regarder.

Le moteur Machine Learning ArkGuard estime la probabilité qu’un exécutable présente un profil malveillant. Ce score n’est pas utilisé seul : il sert à prioriser l’analyse et à renforcer ou nuancer les autres signaux observés.

Détecter des profils atypiques même sans signature connue Comparer le score ML aux règles, heuristiques et caractéristiques du fichier Mettre en avant les échantillons qui nécessitent une investigation plus poussée
ARKGUARD / CLASSIFICATIONML
94%
Probabilité estimée

Profil malveillant

Le score vient compléter les autres couches d’analyse.

Structure PEélevé
Entropieatypique
Importsà vérifier
1 signal ≠ 1 verdictSandGuard cherche la convergence.
FILE IDENTITY setup_invoice.exe
PE32+
SHA2567f2a...91bd
Imphash15b8...0a41
PublisherUnknown
VendorIncohérent
SignatureNon signée
TimestampÀ vérifier
empreinte / métadonnées / signature / vendor
02 Identité & confiance

Avant de chercher du malware, vérifiez déjà si le fichier raconte une histoire cohérente.

Métadonnées, empreintes, informations de compilation, signature numérique et vendor donnent un contexte essentiel. Un décalage entre ce que le fichier prétend être et ce qu’il est réellement peut suffire à déclencher une investigation.

MetadataFingerprintSignatureVendorHashes
Détections croisées

Un fichier inconnu peut déjà laisser des traces connues.

SandGuard rapproche les détections issues de règles YARA et les résultats de détection virale pour faire ressortir les correspondances réellement utiles, sans transformer la page en tableau de scanners.

Y
YARA DETECTION

Règles comportementales et familles connues

Suspicious_Powershell_Execmatch
Packed_PE_Genericmatch
Credential_Collection_Stringsmatch
V
VIRAL SIGNALS

Convergence des détections connues

18/ 72

moteurs signalent le fichier

Trojan.Genericdétecté
Riskware / Loaderdétecté
03 Heuristique & renseignement

Quand aucun signal ne suffit seul, le contexte fait la différence.

SandGuard regroupe les anomalies heuristiques, les informations issues de sources de renseignement et les IOC extraits du fichier. L’objectif : passer d’un “fichier suspect” à des éléments directement exploitables pour vérifier si la menace a déjà touché votre environnement.

HeuristiqueStructure anormale, packing, sections atypiques, incohérences.
Contexte externeRéputation et éléments disponibles dans les sources d’intelligence connectées.
IOC extraitsDomaines, IP, URL, hashes et artefacts prêts à pivoter.
FICHIER sample.exe
→
CORRÉLATION Heuristics + Intel
→
IOC 7 indicateurs
Indicateurs extraitsprêts à investiguer
DOMAINcdn-update-check[.]comsuspect
URLhxxps://.../loadermalveillant
IP185.***.***.24enrichi
SHA2567f2a...91bdpivot
Analyse statique Windows

Comprendre ce que l’exécutable semble capable de faire, sans le lancer.

Les propriétés statiques permettent de révéler les interactions possibles avec Windows, les bibliothèques utilisées et la manière dont le programme a été construit.

PE sample.exe
RegistryRun / Services
ImportsWinAPI sensibles
ExportsFonctions exposées
LanguageC/C++ · .NET
01
Windows Registry

Repérez les clés et chemins pouvant indiquer persistance, configuration ou modification système.

02
Imports & exports

Identifiez les API et fonctions qui donnent des indices sur les capacités du binaire.

03
Language & build

Obtenez des indices sur le langage, le runtime et les choix de compilation.

04
Structure PE

Sections, entropie, headers et incohérences viennent compléter la qualification.

code / suspicious routine STATIC VIEW
001push rbp
002mov rbp, rsp
003call RegSetValueExWregistry
004lea rcx, [credential_buffer]
005call InternetOpenUrlWnetwork
006xor eax, eax
04 Code

Et quand le verdict ne suffit pas, descendez jusqu’au code utile.

Pour les profils techniques, SandGuard expose les éléments de code qui permettent d’aller plus loin dans l’investigation : appels sensibles, chaînes, instructions et portions intéressantes à examiner.

L’objectif n’est pas de remplacer un reverse engineer, mais de lui éviter de commencer son analyse à l’aveugle.

Une analyse, plusieurs niveaux de lecture

Un dirigeant veut une réponse. Un analyste veut les preuves. SandGuard donne les deux.

La même analyse peut être utilisée pour répondre rapidement à un collaborateur, documenter un ticket, enrichir une alerte SOC ou poursuivre une investigation technique.

Lecture rapideVerdict · risque · action recommandée
InvestigationDétections · heuristiques · IOC · contexte
Analyse avancéeStatic · registry · imports · code
Confidentialité

Un fichier suspect peut aussi être un fichier sensible.

SandGuard est conçu pour analyser des échantillons sans les transformer inutilement en fichiers publics. Vous gardez une restitution exploitable tout en limitant l’exposition.

Passez du doute à la décision

Vous avez un .exe à qualifier ?

Analysez-le avant de prendre le risque de l’exécuter ou de le diffuser.

Analyser un fichier Parler à l’équipe
Questions fréquentes

Analyse d’exécutables avec SandGuard

SandGuard doit-il exécuter le fichier pour l’analyser ?

Non. Cette page présente l’analyse statique automatisée actuellement disponible. L’analyse dynamique reste une évolution distincte de la plateforme.

Le Machine Learning décide-t-il seul si un fichier est malveillant ?

Non. Le score ML est un signal parmi d’autres. Il est mis en perspective avec les détections, heuristiques, caractéristiques statiques et éléments de contexte.

Puis-je récupérer des IOC à partir d’un exécutable ?

Oui. Lorsque le fichier contient des indicateurs exploitables, SandGuard peut les extraire et les présenter pour faciliter le pivot et l’investigation.