HIPS/IDS pour x64

[X Morpheus]

Bonjour,

Suite à la lecture de ces articles de Malekal j'ai voulu installer un IDS sur mon ordi et je me suis rendu compte qu'il n'étaient pas tous compatibles x64 :
http://forum.malekal.com/ameliorer-secu ... t3285.html
https://www.malekal.com/2010/11/12/tuto ... y-monitor/
https://www.malekal.com/2010/11/12/tuto ... cessguard/

J'ai donc fait des recherches pour essayer d'en trouver un qui fonctionne avec Seven 64.
Bon mon but n'est pas de vous donner un avis technique, mais uniquement de faire gagner un peu de temps dans la recherche pour ceux qui sont intéressés par un HIPS/IDS 64 en transmettant tous les liens que j'ai trouvé.
Ce serait bien qu'un modératuer donne un avis plus technique (je pense à PEguard2, Zemana et spyshelter que j'ai trouvé sur google, qui semblent intégrer des fonctions IDS, mais qui sont présentés comme des Antiloggers sur les sites éditeurs).
En fait j'ai passé un peu plus de deux heures à chercher, alors ca serait con de pas en faire profiter d'autres qui seraient dans le même cas que moi.

Voici ce que j'ai trouvé :

Emsisoft Mamutu : http://www.emsisoft.de/fr/software/mamutu/
Présenté comme un inhibiteur de comportement. Il fonctionne avec vista et seven 64. C'est un standalone, donc il est trés peu gourmand en mémoire.

Privacyware Private Firewall : http://www.privacyware.com/personal_firewall.html
Annoncé compatible avec XP, vista et Seven x64, mais j'ai trouvé un post sur un forum anglais d'un utilisateur qui aurait les trois version sur trois machines et systèmes différents, et d'après lui la version XP 64 ne serait pas réellement compatible....

Online Armor est un intégré firewall+ids compatible x64 (uniquement seven , pas vista ou XP) : http://www.online-armor.com/

Outpost Pro Firewall : http://www.agnitum.com/products/outpost/index.php C'est un firewall avec ids intégré. Annoncé compatible x64 sur le site (sans préciser si c'est XP et Vista et Seven)

Spyshelter (je le mets mais j'en ai vraiment entendu parler que en mal) : http://www.spyshelter.com/description.html
C'est un intégré, qui est présenté sur le site comme un Antikeylogger, compatible x64, et il intègre un module ids

Zemana Antilloger : c'est un intégré avec des fonction IDS compatible avec XP, vista et Seven 64 : http://www.zemana.com/AntiloggerCompatibility.aspx#tab

Process guard semble être compatible avec x64 mais apparement l'éditeur n'existe plus et donc j'ai laissé tombé. De toute façons, pour ceux qui sont intéressés, l'excellent tuto de malekal est la : https://www.malekal.com/2010/11/12/tuto ... cessguard/

Comodo Defense + serait compatible x64 mais je n'arrive pas à trouver d'infos précise, et de plus il n'existe pas en standalone et est donc intégré à une suite internet : http://www.comodo.com/home/internet-sec ... ty-pro.php


Defense Wall Hips : annoncé uniquement sur système 32 bits sur le site officiel : http://softsphere.com/
Je le mets quand même dans la liste car curieusement je n'ai pas trouvé d'info sur le site officiel quant à une version 64 bits, mais sur le site microsoft il l'annonce (d'après eux c'est une info de l'éditeur) compatible 64 courant septembre : http://www.microsoft.com/windows/compat ... &os=64-bit

Appguard : Il semble d'après ce que j'ai pu trouver dans certains forum qu'il fonctionne sur x64, mais sur le site de l'éditeur je n'ai pas trouvé d'infos : http://www.blueridgenetworks.com/products/appguard.php
De plus je n'ai pas l'impression que c'est un standalone, mais plutôt un web guard+IDS

PEGuard2 : J'ai eu ce lien par google, mais il y a trop peu d'info sur le site éditeur pour savoir s'il intégre des fonctions ids. La seule info que j'ai trouve c'est qu'il est compatible x64 : http://ohtic.com/products/index.php?id=1


Voila qui est fait, merci si un modérateur voulait bien donner un petit avis technique ou corriger certaines choses....

Bon maintenant j'aime bien finir sur une note d'humour. Alors oui, j'en ai installé un. J'en ai choisi un qui avait deux avantages :
1 c'était exactement celui que je voulais
2 il était déja installé depuis 15 jours sur mon ordinateur (en plus avec une licence d'un an) mais ... je savais pas ce que c'était et je m'étais limité aux conseils du site : évitez la multiplication des systèmes de sécurité, et puis je suis tombé sur l'article HIPS/IDS de Malekal et en faisant mes recherches je me suis rendu compte que j'aurais pu gagner deux bonnes heures... juste en l'activant.
Oh tu veux savoir lequel j'ai choisi ?
Non mais ca va pas, est ce que je t'en pose des questions moi ?

Un petit conseil pour la soirée: Faut chercher partout sur Malekal.com, il y a plein de trucs instructifs (heu je veux dire il y a QUE des trucs instructifs, mais il y en a plein que tout le monde peut comprendre)

Bonne soirée

[Cyborg]

J'suis pas spécialiste en la matière, mais c'est un sujet qui m'intéresse.

La question de la compatibilité est litigieuse. J'avais entendu quelqu'un (feu notre Sacles adoré, si ma mémoire est bonne) critiquer ce que faisait les HIPS/IDS sur les systèmes 64 bits, à cause du Process Guard (toujours si ma mémoire n'est pas défaillante ... la loose pour un Cyborg!!).

Bien sûr, ils "fonctionnent" sur des systèmes 64 bits. Mais sont-ils aussi efficaces ou se limitent-ils à de la surveillance des applis lancées ... ben j'en sais rien.

Qu'en est-il de la surveillance de la base de registre et des zones sensibles du système ? Aucune idée. Il faudrait faire des tests tels que celui proposé par Comodo, avec et sans HIPS sur un Win 7 avec et sans UAC activée, afin de voir si l'UAC et le Process Guard des systèmes 64 bits font déjà tout le boulot, ou pas.

Je serai curieux de savoir ce que tu as choisi ... et les perfs face au leak test de Comodo en fonction de l'activation, ou non, de l'IDS/HIPS.

PS: Pas le temps de retrouver le Leak test de Comodo, là. J'repasserai.

[félix le chat]

Bonjour,

Comodo Leak Tests CLT :

http://www.testmypcsecurity.com/securit ... suite.html à première vue XP et Vista

[Cyborg]

Merci Félix pour le lien.

Pour seven, j'm'en fais pas trop. Par contre, pour le 64 bits, c'est pas gagné.
Faut essayer et voir ce qu'il dit...

[félix le chat]

Sur mon W7, j'arrive à un modeste 200/340, mais il est lancé avec des droits d'administrateur et donc tous ses modules héritent des mêmes droits, d'où l'importance de conserver l'UAC active, car s'ils attaquent un par un ont peu les bloquer un à un.

[X Morpheus]

Salut,
Edit : je suis en windows 7 x64

C'est trop marrant, je voulais faire le test comodo, mais quand je dezippes le fichier, j'ai l'antivirus qui petes un plomb à cause de coat.dll (il le prend pour un trojan), j'ai beau l'approuver et le restaurer de la zone de quarantaine, et immédiatement l'antivirus le reisoles.... Ca ne présente pas beaucoup d'intéret de faire le test sans l'antivirus.... (l'antivirus supprime automatiquement CLT.EXE et DLL.DLL et je ne peux pas l'en empecher sauf si je le désactive....)

Bon et puis pour ceux qui vont encore se foutre de ma gueule l'antivirus c'est Mcafee....

Sinon après une dizaine de jours d'essai (j'ai pris Mamutu, j'ai Malwares bytes pro, et la suite internet Mc afee), je ne suis pas vraiment convaincu, Tout est fait en tâche de fond, alors que je voulais des popups chaque fois que la base de registre est modifiée (ouais c'est bizarre, mais il y a certains popups que j'aime bien), mais maintenant peut être qu'il faut attendre de voir avec des programmes à comportemetn suspect comme ils disent....Mais bon je vais pas m'amuser à m'installer des méchantes bètes juste pour voir si Mamutu fonctionne bien comme je veux, donc ben je verrais bien à l'usage. Et j'ai surtout de très gros doutes quand à la compatibilité x64.
Bon ca tourne (enfin ca ralentit quand meme beaucoup l'ordi meme avec 4GO de ram), mais je parle en terme d'efficacité, la base de registre x64 semble poser de gros problèmes, et pas seulement avec les HIPS.
J'ai testé tout ce que j'ai pu trouver en anti rootkit x64 et c'est clair il n'y en a pas un qui fonctionne réellement, idem pour la quasi totalité des outils de désinfection (je ne parle pas des aides au diagnostic qui fonctionnent apparement plutot bien)), idem pour tous les utilitaires de nettoyage de registres.

Maintenant je ne suis pas un pro en informatique, mais bon je remarque quand même que tous les programmes qui doivent modifier ou surveiller la base de registre 64 semblent avoir des problèmes avec celle ci.... (sauf les installs... ca semble quand même marcher)

Il semblent même que les "concepteurs de petites bêtes méchantes" soit les seuls à commencer à comprendre x64, puisque tous les outils que j'ai trouvés et testé (c'est pas un vrai test comme malekal les fait, je les installe et je regarde juste s'ils fonctionnent et si les résultats semblent cohérents et ce n'est JAMAIS cohérent) s'installent mais soit ne fonctionnent pas, soit perturbent fortement le fonctionnement de l'ordi... Alors que depuis quelques mois on entend de plus en plus parler des rootkits 64.

Malekal avait parlé de ca dans un de ces articles que je n'arrive pas a retrouver, mais en gros il dit que les editeurs de logiciels officiels des logiciels de sécurité ne peuvent pas se permettre de payer la licence crosoft64 alors que les concepteurs de malware n'ont pas à s'embarrasser de ces préoccupations....

Bon même si c'est un peu plus lent avec l'ensemble Mamutu, Mbam et l'antivirus, je laisse tout installé, mais je commence à me dire que pour les systèmes x64 on est plus protégé par le coup de bol que par logiciel.... Du coup je suis encore plus prudent sur le net et j'évite tout ce qui me semble suspect....

En fait, l'UAC semble être la meilleure protection additionnelle à l'anti virus+anti malware actuellement, et quand je vois que dans un vote sur ce site, 26 % des utilisateurs ont désactivé l'UAC parce que c'est trop lourd, ca m'inquiète pour eux....
Surtout que c'est personnes ne viendront jamais à utiliser un HIPS / IDS pour les mêmes raison, c'est un peu lourd, il faut bien le paramétrer pour que cela ait une utilité, et ca ralentit un peu le PC....

Sur ce je vais aller manger, je refairais peut être un post sur les antirootkits 64, car j'attends une réponse de Sophos, je leur ai soumis quelques copies d'écran de leur anti rootkits 64 qui est décrit sur le site comme 100 % compatible win 7 x64 et qui me dit : Error parsing raw registry hive SECURITY. Registry scan may not be supported on this version of Windows.
Soit en francais : Erreur d'analyse de sécurité sur les premières "ruches" du registre, le scan du registre semble ne pas etre supporté par cette version de windows

Ma conclusion : installez tout ce que vous voulez, mais restez vigilants... A mon avis ca va nous faire mal quand ils vont décider de vraiment s"attaquer à windows7 x64....

Bonne soirée

[félix le chat]

Bonjour,

C'est trop marrant, je voulais faire le test comodo, mais quand je dezippes le fichier, j'ai l'antivirus qui petes un plomb à cause de coat.dll (il le prend pour un trojan), j'ai beau l'approuver et le restaurer de la zone de quarantaine, et immédiatement l'antivirus le reisoles.... Ca ne présente pas beaucoup d'intéret de faire le test sans l'antivirus.... (l'antivirus supprime automatiquement CLT.EXE et DLL.DLL et je ne peux pas l'en empecher sauf si je le désactive....)
Bon et puis pour ceux qui vont encore se foutre de ma gueule l'antivirus c'est Mcafee....

Il est normal qu'un programme de protection déjà installé, antivirus ou autre, essaye de désactiver des constituants de CLT il faut bien entendu le laisser faire, le score maximum à atteindre en sera dégraissé d'autant.

Mais on peut s'interroger sur le fait que Mcafee supprime CLT.exe, par exemple :

- soit, il devine que CLT.exe est le lanceur de tous les tests qui vont suivre ?
- soit, il est programmé pour supprimer automatiquement CLT.exe qui est un outil connu de test ?
- soit ?

[Cyborg]

j'ai pris Mamutu, j'ai Malwares bytes pro, et la suite internet Mc afee

Euh ... t'es en train de me dire que tu as 2 moteurs de scan résident (MBAM et McAfee), et peut-être 2 IDS (La suite Mc Afee n'en a pas un ?). T'as vraiment envie d'avoir un PC qui râme !!
T'as pas trouvé sur Malekal que multiplier les AV posait beaucoup plus de soucis que ça n'en réglait (vu qu'ils se bouffent plus facilement le nez que ne se complètent) ? Et pour les HIPS/IDS, j'espère qu'il n'y a rien côté Mc Affe, sinon ça doit être pire encore !!

Mais on peut s'interroger sur le fait que Mcafee supprime CLT.exe

Il contient du code qui va attaquer le système. Il suffit que l'AV l'analyse pour s'en rendre compte.

Par contre, rien n'empêche de faire le test sans AV, ce sont des accès au ressources qui sont testés. La question n'est pas de savoir si l'AV reconnait le code malveillant, mais si un programme non détecté par l'AV peut accéder aux ressources sensées être protégées, ou s'il sera bloqué par l'IDS ou autre. Donc tu peux désactiver tes protections résidentes, côté AV (MBAM et Mc Afee). Par contre, ça serait bien de pas désactiver le Firewall (+HIPS? + IDS?) de Mc Afee.

PS: Ben moi, j'y ai pas pensé en rentrant chez moi. donc pas de test sur ma bécane Win7 64.

[X Morpheus]

salut,

Mais on peut s'interroger sur le fait que Mcafee supprime CLT.exe, par exemple :

- soit, il devine que CLT.exe est le lanceur de tous les tests qui vont suivre ?
- soit, il est programmé pour supprimer automatiquement CLT.exe qui est un outil connu de test ?
- soit ?

Ben soit on peut aussi se demander si il n'y a pas des aspects économiques qui poussent les éditeurs de logiciels de sécurité à favoriser certaines relations ou certaines incompatibilités entre 2 produits, donc à inclure dans leur stratégies antimalwares des éléments qui considéreraient certains outils concurrents comme indésirables, au point de ne même pas laisser d'"options à l'utilisateur quant à leur installation....

Par contre, rien n'empêche de faire le test sans AV, ce sont des accès au ressources qui sont testés. La question n'est pas de savoir si l'AV reconnait le code malveillant, mais si un programme non détecté par l'AV peut accéder aux ressources sensées être protégées, ou s'il sera bloqué par l'IDS ou autre. Donc tu peux désactiver tes protections résidentes, côté AV (MBAM et Mc Afee). Par contre, ça serait bien de pas désactiver le Firewall (+HIPS? + IDS?) de Mc Afee.

Ca c'est une très bonne info, en fait je pensais que le but du test était de voir s'il y avait des failles qui permettaient l'accès aux ressources systèmes

Euh ... t'es en train de me dire que tu as 2 moteurs de scan résident (MBAM et McAfee), et peut-être 2 IDS (La suite Mc Afee n'en a pas un ?). T'as vraiment envie d'avoir un PC qui râme !!

Sur le point Mbam+Mcafee, j'assume totalement, car ma confiance en l'un des deux est très limitée, et (mais cela n'engage que moi) je les trouve hyper complémenhtaire. Maintenant je n'ai peut être pas fait un bon choix enb rajoutant Mamutu, mais le fait est que au niveau de la sécurité, Mc afee+Mbam, c'est pas assez... en tous cas pour moi. Après le PC qui rame, c'est uine question de point de vue, je préfère perdre 1 ou 2 secondes au chargemetn de certaines pages internet que perdre 1 journée à reformater et réinstaller.... Après pour être honnête tu m'apprends que la suite internet comprends un ids, et je viens de vérifier tu as raison, mais en fait il y a très peut d'infos et il semble plus qu'il y ait quelques fonctions de types IDS mais Mamutu est vraiment beaucoup plus complet, c'est un stand alone très peu gourmand, et je dois dire que ca ne fait que 10 jours qu'il est installé, et en fait j'attends de voir un peu si c'est utile de le conserver.
Sur ma config en tous cas le ralentissment est sensible, mais pas génant pour le moment....

J'ai vu que le test comodo était annoncé sur le site comme Vista /XP only, j'en ai pas vu pour Seven 64...

Et puis le but final, c'est de virer Mcafee, et puis de voir si je garde pas Mamutu et Mbam, avec un module Av gratuit....

Voila, maintenant pour revenir au sujet, j'avais lu beaucoup de choses sur les gènes occasionnées par les pop ups intempestifs (surtout au debut, en phase d'apprentissage) mais en 10 jours je n'ai eu qu'un pop up pour me demander ce qu'il devait faire avec Mbam....

Maintenant j'ai pas vraimetn envie de rentrer dans un débat sur une marque ou sur un package de produits, je voulais plus donner les infos que j'avais trouvées et voir s'il j'arrivais à en obtenir quelques unes en retour, ce qui est déjà le cas, Merci

Ce que je retiens en tous cas, c'est que tous les outils de sécurité sont moins au point dans leur version x64, et que c'est la base de registre qui est le point qu'ils ont le plus de mal à sécuriser... et j'en reviens toujours au même point : Est que l'UAC n'est pas le plus efficace des systèmes de protections (même s'il a beaucoup de failles, à commencer par l'utilisateur) pour x64 ???
En ce qui concerne Mamutu, pas de pop ups a moins de cocher le mode paranoïde mais là ca porte bien son nom...

[Cyborg]

Ca c'est une très bonne info, en fait je pensais que le but du test était de voir s'il y avait des failles qui permettaient l'accès aux ressources systèmes

Ben en fait ... c'est exactement ça !! Le but d'un AV n'est pas d'empêcher des ressources d'être utilisées. Le but d'un AV est de reconnaitre des codes qui sont malveillants. Il ne surveille donc que les nouveaux fichiers, ainsi que le contenu des fichiers sensibles je pense.
En le désactivant, tu peux copier un fichier "malveillant" sur ton système et l'exécuter. A ce moment-là, reste à savoir si l'IDS et l'HIPS vont faire leur boulot et empêcher le programme d'accéder aux ressources sensibles, d'installer un driver, etc...

En gros, désactive tes AV, et lance le CLT.exe !!

Et puis le but final, c'est de virer Mcafee, et puis de voir si je garde pas Mamutu et Mbam, avec un module Av gratuit....

Pour ma part, je vais installer Avast + Comodo Firewall. Avast est assez complet comme AV gratuit. Ce que je ne sais pas, c'est la qualité de la protection de Comodo en 64 bits.

Dans ce cas, je t'aurais dit de conserver MBAM et Comodo Firewall (sans l'AV) par exemple, qui à conserver MBAM pour des scans à la demande.

Pour ma part, j'ai de la famille à la maison, donc faudra attendre un peu avant mon test de CTL.exe sur mon Win 7 64.

[félix le chat]

Bonjour,

Je suis sous W7 64 bits Familiale Premium.

J'avais CISpro en parefeu (1 an de licence gratuite), Avira Premium en antivirus, Mamutu (1 an de licence gratuite) et Malwarebytes en version payante.

J'ai viré CIS (en raison de nombreuses mises à jour, plus ou moins, fictives en vue de pousser à l'installation payante de la version pro payante).

J'ai viré Avira Premium, fin de ma licence payante et complexité à le désactiver quand c'est nécessaire, je l'ai remplacé par Avast gratuit en raison de la présence de l'autoSandBox.

Entre temps, 1 an de licence gratuite pour Avast Pro, d'où enfin la vraie SandBox.

Au final, me restent Avast Pro, Mamutu qui se fait très bien oublier, Malewarebytes et l'UAC au niveau 3 (pour éviter les écrans grisés sur des programmes que je connais depuis des années, j'utilise UACpass qui me simplifie la vie).

Ben soit on peut aussi se demander si il n'y a pas des aspects économiques qui poussent les éditeurs de logiciels de sécurité à favoriser certaines relations ou certaines incompatibilités entre 2 produits, donc à inclulre dans leur stratégies antimalwares des éléments qui considéreraient certains outils concurrents comme indésirables, au point de ne même pas laisser d'"options à l'utilisateur quant à leur installation....

c'est gentiment dit.

[X Morpheus]

Salut,

je résume en vitesse, je détaillerais plus tard, je suis à la bourre....

Test CLT (sans antivirus donc ....) 190
Test Avec Mamutu 200 (la seule différence est la ligne 5 Invasion:Runner que Mamutu Protège....)

Le test avec ou sams Mbam donne les mêmes résultats.

Bon ben je vais à l'église pour prier pour que l'antivirus soit plus efficace que le reste....Saint Bilou si tu m'entends protèges mon ordinateur...

Edit (j'ai fait le test en tant qu'administrateur)

je rajoute les screens des résultats :

Sans rien :


Avec Mamutu :


On peut quand même se dire que Seven 64 est pas si mal protégé, je dis pas qu'il n'a pas de failles, mais ca m'a surpris de voir autant de vert dans le test avec tous les scans désactivés... Et puis seulement 1 élément supplémentaire protégé en activant Mamutu, je le garde parce que j'ai une licence d'un an gratuite, mais c'est un peu léger, je referais un autre test en augmentant un peu le niveau de sécurité de Mamutu

[Cyborg]

Et puis seulement 1 élément supplémentaire protégé en activant Mamutu, je le garde parce que j'ai une licence d'un an gratuite, mais c'est un peu léger, je referais un autre test en augmentant un peu le niveau de sécurité de Mamutu

Et en complétant avec Online Armor ? Mamutu et Online Armor, c'est bien le même éditeur, non ? Et un Firewall digne de ce nom, ça peut vite faire la différence !!

Bon, y'a pas trop de quoi s'inquiéter non plus. J'présume que si tu donnes pas les droits admin via l'UAC à CTL.exe, il fait juste pas grand chose, non ?



Moi, j'fais pas le malin, j'viens de changer Antivir par Avast sur ma bécane XP (avec Comodo HIPS+IDS) et ... j'ai un phénomène digne d'un Blaster : reboot au bout de 30s de session. J'viens de lancer le scan d'Avast et de MBAM en mode sans échec, mais j'ai déjà repérer un C:\Program.exe tout ce qu'il y a de plus louche.
Ca fait plaisir d'enlever Antivir de son PC ...

[félix le chat]

Bonjour,

Online Armor Free

Protection contre les logiciels espions

Le gardien des programmes vous permet de contrôler les programmes autorisés à s'exécuter sur votre ordinateur. L'exécution des programmes connus et sûrs sera autorisée automatiquement, tandis que les programmes dangereux engendreront un message d'avertissement rouge afin que vous puissiez empêcher leur exécution.

Pour autant que je m'en souvienne on peut désactiver l'antivirus pour éviter les conflits avec un autre et conserver actif le gardien des programmes.

[X Morpheus]

Bouh....
Je suis en train de me demander : "Mais qu'est ce donc que cela signifie ces phénomènes paranormaux sur mon pc?"

Je refais le test comodo en mode sans echec avec prise en charge réseau et aucun système de protection activée et j'obtiens.... 190!!! (comme avec mbam+pare feu)

je redémarre le pc (avec toutes les protections donc)et là je me dis "Tiens j'ai installé CLT quand j'ai coupé l'AV, je vais essayer de lancer clt maintenant pour voir et là 2ème phénomène voila que le test démarre normalement!!! L'av ne bronche pas... et je vais dans les paramètres, et je vois que il a même autorisé une règle pour CLT dans le pare feu????
Donc il me le supprime automatiquement quand je le dézippes, mais quand je veux l'éxecuter, il s'en fout....

j'en étais là : j'avais donc lancé le test avec toutes mes protections activées, et qu'est que je vois donc là : 190

Conclusion : Mc afee internet suite et Mamutu incompatibles ????

Et puis surtout ca veut dire que Patch Guard+UAC ca vaut 190 au leak test, c'est gratuit, c'est installé d'origine (on parle des systèmes 64).

J'ai rien contre le fait de mettre un peu de fric pour la sécurité, même si j'ai un faible pour les licences gratuites, le problème c'est à qui donner ce fric, quand je vois que mes protections n'arrivent pas à passer un test ... vieux de trois ans!!!

Et puis j'en reviens à ce que je voulais au départ, je recherchais un programme qui faisait juste 1 truc : je voulais un pop up à chaque fois qu'un programme tenter d'écrire dans la base de registre, de là je suis tombé sur l'article sur les HIPS, et j'ai vu dans le même article des screenshots de SystemGuard qui faisait exactement ca mais malheureusement il est pas compatible x64, de la toutes ces recherches et ce post, mais mon problème est toujours le même : Est ce qu'il y a un truc qui marche en 64 pour surveiller cette base de registre.
Je ne suis pas un expert, mais j'ai l'impression que si j'arrive à controler tout ce qui touche à la base de registre, ca serait un peu plus compliqué de se faire infecter...

Maintenant j'ai aussi un dernier doute sur la fiabilité du test en x64, sur le site il est indique pour XP/vista mais il ne précisent pas 32 ou 64....