UPX

Ce processus permet de compresser un fichier exécutable, capable quand il est lancé de se décompresser lui-même. Il n’y a pour l’utilisateur aucune différence entre le programme compressé et l’original.

Cette technologie permet de se passer, pour les programmes, de méthodes plus générales mais nécessitant l’utilisation de bibliothèques et de logiciels spécialisés et/ou payants, comme gzip, zip ou bzip2.

Sur des programmes imposants, la technologie de compactage permet de réduire le temps de téléchargement si le programme est diffusé via Internet.

UPX lui-même permet la décompression d'un exécutable compressé.

La technologie UCL est une bibliothèque de compression spécialisée, dérivée de la technologie propriétaire NRV (Not Really Vanished). La bibliothèque UCL a été écrite en ANSI C.

Les programmes compressés avec UPX sont dotés, dans l’amorce (stub) de l’exécutable, d’une partie du code de la bibliothèque UCL, permettant au programme de se décompresser. Cette amorce tient sur moins de 200 octets.

UPX utilisait autrefois la compression LZO (Lempel-Ziv-Oberhumer, le logiciel s’appelait alors lzop), dérivée de la méthode LZ (Lempel-Ziv) et de la méthode LZW (Lempel-Ziv-Welch), moins performante, dont les concepteurs se sont inspirés pour adapter NRV. UCL est disponible sous licence GPL et licence UPX.

• arm/pe
• atari/tos
• djgpp2/coff
• dos/com
• dos/exe
• dos/sys
• linux/i386
• linux elf/amd64
• linux elf/ppc32
• mach/ppc32
• ps1/exe
• rtm32/pe
• tmt/adam
• vmlinuz/386
• watcom/le
• win32/PE

Les programmes compressés avec UPX peuvent s’extraire dans un fichier temporaire, ce qui fait que :

• les permissions spéciales, telles que le suid, sont ignorées ;
• les arguments passés aux programmes peuvent être altérés ;
• les applications ne pourront pas partager des segments CPU communs.

Autrement et plus généralement, ils se chargent en mémoire (in-place) :

• Les ordinateurs ne possédant que peu de mémoire vive (RAM) peuvent être ralentis ;
• Certains programmes qui intègres des composants de bas niveau peuvent être moins stables (principalement sur des VM) ;

Étant donné la modification du code effectuée par UPX :

• On ne peut pas identifier facilement les dépendances d’un programme compressé ;
• Les applications compressées peuvent démarrer plus lentement (si le processeur est lent) ou plus rapidement (exécution depuis un partage réseau, une clef USB, un fichier du disque dur non caché…) ;

Les programmes compressés par UPX sont tous facilement décompressés par les logiciels antivirus, bien que de faux-positifs d'analyse peuvent être retrournés parfois, du fait que certains antivirus considèrent les executables compréssé comme potentiellement malicieux, car vu comme une tentative de "cacher" du code binaire directement lisible.

Certains virus sont compressés avec des versions modifiées d’UPX ce qui complique légèrement la tâche des logiciels de protection.