DLL — fichier .dll

Une DLL (Dynamic-Link Library) contient du code et des ressources destinés à être partagés entre plusieurs programmes Windows, chargés en mémoire à la demande plutôt que dupliqués dans chaque exécutable. C’est le mécanisme de bibliothèque partagée standard de Windows, l’équivalent des fichiers .so sous Linux.

Une DLL utilise exactement le même format conteneur qu’un EXE — le Portable Executable — et partage donc rigoureusement la même signature d’en-tête “MZ”. Il est impossible de distinguer une DLL d’un EXE par les seuls premiers octets du fichier : la différence est encodée plus loin, dans un champ de l’en-tête PE (Characteristics, bit IMAGE_FILE_DLL), qui nécessite un parsing plus poussé de la structure interne.

Le remplacement malveillant d’une DLL légitime par une version compromise (“DLL hijacking” ou “DLL sideloading”) est une technique d’attaque documentée qui exploite l’ordre de recherche des bibliothèques par Windows lors du chargement d’un programme.

Plusieurs applications peuvent charger et partager simultanément une même DLL en mémoire, ce qui réduit la consommation totale de RAM du système comparé à une situation où chaque programme embarquerait sa propre copie du même code partagé.

Le “DLL Hell”, terme qui a désigné pendant des années les conflits de versions entre DLL partagées sous Windows, a largement motivé l’introduction ultérieure de mécanismes d’isolation d’application (side-by-side assemblies, puis conteneurs applicatifs modernes) pour limiter ces interférences entre logiciels.

Le détournement de l’ordre de recherche des DLL est répertorié comme technique documentée dans le référentiel MITRE ATT&CK (T1574.002), une classification largement utilisée par les équipes de sécurité pour cartographier les méthodes connues d’exécution de code malveillant via des bibliothèques partagées détournées.