Qu'est-ce qu'un cheval de Troie (trojan) ?

Définition du trojan et place dans la famille des malwares

Le cheval de Troie tire son nom de la ruse grecque : un objet offert pour être accepté volontairement par son destinataire, puis une menace activée de l'intérieur de l'espace sécurisé. En informatique, la définition s'appuie sur trois critères cumulés : l'apparence d'utilité au moment de l'installation, l'absence de propagation autonome et l'exécution d'une charge utile définie à l'avance par l'auteur. Concrètement, le trojan n'imite pas un autre logiciel au sens strict, il s'insère dans le flux normal de travail, comme le fait le ver, et il reste inerte jusqu'à un déclencheur, comme le fait le logiciel espion, mais il ne se réplique pas dans le système comme le fait le vers.

La classification retenue par les laboratoires d'analyse distingue quatre grandes catégories de charges utiles. La première, le trojan bancaire, se place dans la navigation pour intercepter les identifiants et les numéros de carte lors des connexions aux services bancaires. La deuxième, le trojan RDP, ouvre un accès à distance sur le poste compromis, ce qui le rend compatible avec les techniques de brute force : attaques par force brute en parallèle sur les comptes exposés, comme le documentent les campagnes observées en 2024. La troisième, le dropper, n'a qu'un seul objectif : déposer un autre malware, un ransomware ou un spyware, une fois la porte franchie. La quatrième, le trojan de cryptomining, mobilise les ressources du poste pour extraire des actifs numériques, avec un impact mesurable en température et en consommation énergétique.

Mécanismes d'infection : comment le trojan se dissimule

Le camouflage du cheval de Troie suit un schéma en trois temps : l'appât, le transport et la déclenchement de la charge. À chaque temps, le trojan emprunte des canaux qui paraissent légitimes, et c'est cette normalité apparente qui le rend difficile à repérer par les contrôles automatiques classiques.

Le canal de téléchargement

La voie la plus courante reste le téléchargement direct sur un navigateur. Les pages de faux téléchargement, les faux lecteurs multimédia, les faux plugins de navigateur et les faux logiciels de conversion de fichiers constituent les appâts les plus fréquents. Les rapports d'éditeurs de sécurité en 2024 recensent plus de 70 % des infections par trojan qui passent par un téléchargement initié par l'utilisateur, et non par une exploitation automatique. Le faux fichier PDF, le faux lecteur vidéo, le faux convertisseur de documents : trois appâts qui reviennent dans la quasi-totalité des campagnes documentées.

Le canal des mises à jour et des logiciels tiers

Le second canal exploite la confiance accordée aux mises à jour. Un trojan se glisse dans un package de mise à jour d'un logiciel tiers, dans un crack ou dans un outil de déblocage de licence. Le fichier porte un nom plausible, une taille cohérente, parfois un certificat de signature frauduleux. Une fois le package installé, le trojan s'inscrit dans le registre ou dans les tâches planifiées pour garantir sa persistance au redémarrage.

Le canal des pièces jointes

Le courrier électronique reste un vecteur majeur, particulièrement dans les environnements professionnels. Une pièce jointe nommée « facture », « contrat » ou « mise à jour » contient un archive compressée qui abrite le trojan. Le double encapsulation, archive dans archive, est une signature courante des campagnes ciblées. En France, les campagnes observées en 2024 sur les PME et les collectivités ont mobilisé ce canal dans 35 % des incidents rapportés par les CERT nationaux.

Signes de reconnaissance d'un système compromis

Un système infecté par un trojan affiche des signaux qui se manifestent à des niveaux différents, de la consommation de ressources aux comportements réseau anormaux. Les huit signaux les plus fiables se regroupent en trois familles.

Les signaux de performance : une consommation de processeur supérieure à 40 % en permanence, une température CPU au-delà de 85 degrés Celsius sur un poste de bureau, un disque qui tourne en continu, une batterie qui se vide en moins de 2 heures sur un portable. Ces signaux ne sont pas spécifiques au trojan, mais leur persistance sans tâche identifiable les rend suspects.

Les signaux réseau : des connexions sortantes vers des adresses IP inconnues, des requêtes DNS vers des domaines enregistrés il y a moins de 30 jours, un débit montant inexpliqué de 2 Mo/s ou plus en absence de transfert utilisateur. Ces indicateurs se vérifient avec un outil de capture de trafic, et les rapports de Bitdefender sur les menaces 2025 mentionnent la détection de C2 (command and control) sur des ports non standard comme le 443 en TLS, un schéma qui contourne les filtres de périmètre.

Les signaux de persistance : une entrée dans le registre Run, un service Windows qui n'a pas d'éditeur déclaré, une tâche planifiée avec un nom générique. La vérification de ces trois points suffit à éliminer l'essentiel des trojans persistants documentés dans les bases de référence des laboratoires d'analyse.

Protection : les couches de défense contre les trojans

La protection contre le cheval de Troie repose sur une superposition de couches, chacune neutralisant une étape du cycle d'infection. Les cinq couches essentielles sont les suivantes : le filtrage des téléchargements, l'analyse en temps réel, le contrôle des exécution, la segmentation réseau et la formation de l'utilisateur. Chaque couche a un périmètre précis et un coût de mise en œuvre.

Les protections anti-hack qui combinent ces cinq couches couvrent l'ensemble du cycle d'infection documenté, du téléchargement initial à la persistance réseau. La couche de formation reste la moins coûteuse et la plus négligée : 3 sessions de 20 minutes par an suffisent à réduire de moitié les clics sur les appâts de téléchargement, selon les programmes documentés en 2024. Les protections anti-hack qui se limitent à l'antivirus sans segmentation réseau laissent la porte ouverte aux trojans RDP et aux droppers, car un binaire signé peut exécuter une charge utile sans déclencher les signatures.

Vocabulaire et distinctions terminologiques

Le vocabulaire du trojan croise plusieurs champs, et les confusions de termes faussent la lecture des rapports de sécurité. Six termes structurent le champ, et chacun a un périmètre précis.

1. Trojan : logiciel apparemment utile qui exécute une charge utile hostile à l'installation, sans propagation autonome.
2. Dropper : trojan dont la seule fonction est de déposer un autre malware, un ransomware ou un spyware.
3. RDP trojan : variante qui ouvre un accès à distance, compatible avec les techniques de brute force et les outils d'exploitation publics.
4. Banker : trojan spécialisé dans l'interception des identifiants bancaires et des transactions, actif dans la navigation.
5. C2 : canal de command and control, la communication entre le trojan installé et le serveur de l'auteur.
6. Zero day : vulnérabilité non corrigée exploitée avant la diffusion du correctif, souvent le vecteur initial des trojans ciblés.

La distinction entre trojan et virus est la plus fréquente : le ver se propage sans action de l'utilisateur, le trojan exige le téléchargement ou l'installation. La distinction entre trojan et spyware est plus subtile : le spyware est une catégorie de charge utile, le trojan est un vecteur de distribution. Un trojan peut porter un spyware, un ransomware ou un miner de cryptomonnaie, et la même charge utile peut être distribuée par un trojan, un ver ou une exploitation de vulnérabilité.

Limiter l'exposition : réflexes de prévention sur le poste de travail

Quatre réflexes réduisent de manière mesurable l'exposition aux trojans sur un poste de travail, et chacun cible une étape précise du cycle d'infection.

• Activer le contrôle des comptes utilisateurs et désactiver l'exécution automatique des périphériques, ce qui élimine le canal USB documenté dans 15 % des infections 2024.
• Télécharger les logiciels uniquement depuis les sites officiels et vérifier l'adresse du domaine avant la saisie d'identifiants, car les faux domaines en .fr et .com restent les premiers appâts.
• Configurer les mises à jour automatiques pour le système d'exploitation et les logiciels critiques, car le zero day exploité dans les 72 heures suivant sa découverte est le vecteur principal des trojans ciblés.
• Effectuer une sauvegarde externe mensuelle des données essentielles, car la restauration complète d'un poste compromis prend en moyenne 4 heures avec une image de sauvegarde récente, contre 2 jours sans image.

Ces réflexes se combinent avec les couches de protection décrites plus haut pour couvrir l'intégralité du spectre de menaces documenté. Le trojan reste la famille de malwares la plus présente dans les rapports d'incidents 2024 et 2025, et c'est la superposition des défenses, pas la recherche d'un outil unique, qui neutralise sa capacité à s'installer et à persister. La lecture des signaux réseau, le contrôle des exécution et la formation de l'utilisateur forment les trois piliers d'une posture de défense qui tient face aux campagnes les plus sophistiquées.