Yop,

c'est rentable (je veux dire les AV utilisent ce genre de méthodes ?) de scanner un fichier, disons un PE, et d'analyser les opcodes pour les comparer à des statistiques d'utilisation et voir si y a trop de code suspects.

Je pose la question car je suis tombé sur une table de fréquence d'opcodes dans des fichiers PE et y a des instructions qui sont souvent utilisées comme subterfuges par des malwares et qui ont des fréquences très faibles..

petit edit: au premier paragraphe c'était une question

et également je pense aux malwares métamorphe, par exemple si la mutation du code consiste à transformer une instruction courante (sans m'embeter à trouver un exemple sérieux : mov eax, 0) en une autre qui l'est moins (sub eax,eax).

A mon avis ils se basent en principal sur des signatures précises.

Au maximum, les suite d'opcodes suspects, si ils ne sont pas rattachés à une menace connues pourrait plutôt afficher un warning mais cataloguer un binaire là dessus me parait exagéré.

Ou alors l'utiliser en tant que facteur, qui avec d'autre comportement suspects, déclenche une alerte.

je ne pense pas que ce soit possible de cataloguer un binaire PE/elf/.. comme malwares juste sur la fréquence de certain opcode.
Il faut pousser un peu plus loin l'analyse je pense.
par exemple un binaire qui fait des mapviewoffile et writeprocessmemory peut paraitre suspect.

En l'occurrence les 'runpe' comme on dit dans certains milieux, qui sont appel a certaines API comme NtUnmapViewOfSection, WriteProcessMemory, SetThreadContext & co ne sont pas spécialement détectés, voir quasiment pas.

En général ce sont surtout les méthodes de startup/drop file & co qui se font détecter ...

Et Avira est champion dans ce domaine.