Hook - Hooker - Hooking

Un Hook (crochet) est un mécanisme qui permet d'intercepter (de crocheter) et de bloquer ou, éventuellement, de modifier au passage, une fonction ou une portion de code ou des données au moment où elles passent quelque part. Par exemple, un parasite peut s'auto protéger en interceptant une demande de le tuer, peu importe que cette demande provienne de :

• l'utilisateur lui-même avec le gestionnaire de tâches, par exemple
  
• un processus de sécurité tel qu'un antivirus ou un anti-spywares (anti-trojans), grâce à un appel à une API de Windows
  

Le hooker peut :

• bloquer cette demande
  
• modifier la réponse que retourne cette demande pour faire croire qu'elle a été conduite à bonne fin alors qu'il n'en est rien et que le parasite poursuit son activité
  
• examiner quel est le processus qui fait une telle demande et le tuer
• examiner les requêtes faites par les processus systèmes et se masquer, lui, ses services et ses fichiers afin de se rendre invisible et indétectable
  
• ...
  

Ce type d'attaques est relativement de haute technologie et ne peut pas être combattu par les antivirus et les anti-spywares (anti-trojans). Seuls des utilitaires de contrôle d'intégrité, incrustés au niveau du noyau de Windows, peuvent voir les hookers et les bloquer en temps réel. Parmi ces outils on trouve ProcessGuard, SSM, AntiHook ...

Les hooker sont souvent une portion des boîtes à outils pour parasites, appelées "Rootkit".

Un exemple de Hook, légitime celui-ci, est la gestion protégée de la corbeille par Norton Unerase (une fonction des Utilitaires Norton qui permet de récupérer un fichier détruit). Ce hook intercepte les noms des fichiers se trouvant dans la corbeille pour les cacher aux APIs de Windows. Si vous demandez à voir le contenu d'une corbeille ainsi protégée, aucun nom de fichier ne s'affiche alors qu'elle en contiend sans doute des centaines ou des milliers. Pour vider une corbeille ainsi protégée il faut utiliser les Utilitaires Norton car les utilitaires Windows sont rendus aveugles.

Nouvelle adresse du site Assiste.com depuis le 22 octobre 2012 : http://assiste.com