Malware, définition et exemples

La première distinction à retenir est celle entre le logiciel légitime et le malware : un logiciel utile sert un objectif déclaré, comme calculer ou communiquer, alors que le malware sert un objectif caché, comme espionner, bloquer ou exiger un paiement. Un même programme peut pourtant cumuler les deux rôles : un utilitaire de partage de fichiers téléchargé depuis un site malveillant peut contenir un cheval de Troie embarqué. C'est pourquoi la simple présence d'un fichier sur un poste ne prouve rien : il faut vérifier son origine, sa signature et son comportement avant de le classer.

Les 9 familles de malware et leurs comportements

Les 9 familles de malware se classent selon leur mode d'action : se propager, s'infiltrer, bloquer, espionner, miner, surcharger, cacher ou corrompre les données. Cette grille de lecture est plus utile que la liste des noms commerciaux, car un même échantillon peut appartenir à plusieurs familles à la fois.

• Virus : s'attache à un fichier hôte et se réplique à l'ouverture de ce fichier, comme l'a fait Melissa en 1999.
• Ver : se propage seul par le réseau, sans fichier hôte, en exploitant des vulnérabilités connues ; Worm moralis a ralenti des réseaux d'entreprise en 2025.
• Cheval de Troie : dissimule un module nocif au sein d'un logiciel apparemment utile, tel que le kit banking Emotet.
• Logiciel espion : capture des frappes de clavier ou des mots de passe, comme le module keylogger embarqué dans le cheval de Troie Ramnit.
• Rançongiciel : chiffre les fichiers puis exige un paiement, à l'image de WannaCry en 2017.
• Publicité imposée : injecte des bannières dans les pages et les fenêtres, et dégrade le navigateur par des redirections répétées.
• Botnet : enrôle des postes compromis pour lancer des attaques par déni de service ou envoyer du courrier indésirable.
• Rootkit : masque sa présence au plus près du système pour survivre à la détection.
• Ver de déni de service : sature les liens réseau, comme Mydoom en 2004, qui a généré des millions de copies en quelques heures.

Exemples concrets de malware et dates de référence

Ces exemples concrets de malware montrent l'évolution des techniques sur 4 décennies, du premier ver connu aux rançongiciels récents. Les dates et les ordres de grandeur proviennent des bilans publics des éditeurs de sécurité et des rapports de recherche, cités au fur et à mesure qu'ils étayent chaque ligne.

Logiciel légitime ou malware : comment le distinguer

Pour distinguer un logiciel légitime d'un malware, il faut vérifier 4 signaux, car un fichier peut paraître inoffensif tout en exécutant un code nuisible. La règle pratique est de ne jamais exécuter un fichier dont on ignore l'éditeur, l'origine ou l'empreinte cryptographique.

• Vérifier l'éditeur : un logiciel officiel porte une signature numérique que l'explorateur de Windows ou l'outil de vérification de la plateforme affiche.
• Contrôler l'origine du téléchargement : le site officiel de l'éditeur est la seule source fiable, jamais un lien de messagerie ou une page de téléchargement tiers.
• Comparer l'empreinte : le code de hachage SHA-256 publié par l'éditeur doit correspondre à celui du fichier reçu, sous peine de rejeter la copie.
• Observer le comportement : un programme qui modifie la base de registre, lance un processus en arrière-plan ou contourne le pare-feu déclenche une alerte du moteur antivirus.

Ces 4 signaux s'appliquent aussi aux extensions de navigateur et aux plugins : une extension de navigateur Chrome qui revendique un accès illimité au clavier ou à l'historique de navigation est un point d'entrée classique pour un logiciel espion. Le vocabulaire anglais du domaine ajoute le terme « threat », qui couvre à la fois le malware et les vecteurs d'attaque qui le livrent.

Comment l'analyse de malware se déroule-t-elle

L'analyse de malware se déroule en 3 phases, de l'isolement de l'échantillon au rapport d'exploitation, et chaque phase alimente la suivante. Le flux standard d'un laboratoire se présente ainsi.

1. Acquisition : l'échantillon est récupéré depuis un poste infecté, un téléchargement suspect ou une base de spécimens comme MalwareBazaar, la base de spécimens tenue par le centre de recherche abuse.ch, qui publie des échantillons anonymisés avec leur empreinte de hachage.
2. Tri : l'empreinte SHA-256 est comparée aux bases de référence afin de savoir si l'échantillon est déjà catalogué ; un nouveau fichier est isolé dans un bac à sable virtuel.
3. Observation : le bac à sable exécute le code dans un système isolé et enregistre les appels au système d'exploitation, les écritures sur le disque et les connexions réseau ; un détecteur heuristique signale les séquences suspectes, comme un chiffrement de masse des fichiers ou une exécution d'un module dans un processus de navigateur.
4. Qualification : l'analyste rattache les observations à une famille connue, à un kit d'attaque ou à un groupe, puis rédige un rapport qui précise les indicateurs de compromission pour les équipes de réponse.

Une plateforme en ligne comme VirusTotal, qui regroupe 70 moteurs de détection, sert de premier triage avant l'analyse manuelle : un score de 50 moteurs sur 70 qui détectent le fichier suffit à le classer comme nuisible, tandis qu'un score faible renvoie à une analyse approfondie. La même méthode s'applique à un document Office qui déclenche une macro : la macro est extraite, exécutée en bac à sable, puis qualifiée avant que la réponse ne soit déployée sur les postes.

Détection et suppression d'un malware détecté

Lorsque le malware est détecté, la réponse suit 5 étapes, de l'isolement du poste à la purge des traces, et elle se déclenche dès le premier signal de l'antivirus ou de la plateforme de supervision. L'objectif est de couper la propagation avant de supprimer le code.

• Isoler le poste du réseau dès le premier signal, par débranchement du câble ou coupure du Wi-Fi, afin d'empêcher la propagation à d'autres machines.
• Consigner les indicateurs : nom du fichier détecté, empreinte de hachage, processus en cours, connexions réseau observées, horodatage de l'alerte.
• Exécuter un scan complet avec un outil à jour, puis un second scan avec un outil indépendant si le premier signale des éléments résiduels.
• Supprimer les éléments résiduels : tâches planifiées, services de démarrage, entrées de la base de registre, extensions de navigateur et modules qui ne figurent pas dans la liste des logiciels installés.
• Réinstaller le système si le malware appartient à une famille de type rootkit ou si la suppression laisse des anomalies persistantes, puis restaurer les données depuis une sauvegarde antérieure à l'infection.

Ces 5 étapes s'appliquent à un poste de travail comme à un serveur ; pour un poste de travail, le temps moyen d'isolement avant la première suppression est de l'ordre de 30 minutes dans un service informatique structuré. La détection heuristique complète la détection par signature : là où la signature compare le fichier à une base de données connue, le détecteur heuristique observe le comportement en temps réel et signale les séquences qui ressemblent à un chiffrement de masse ou à une injection dans un processus système.

Défenses anti-hack face au malware : les 3 couches

Face au malware, les 3 couches de l'anti-hack se complètent : la prévention limite les surfaces d'attaque, la détection signale les intrusions et la réponse contient la compromission. Aucune couche seule ne suffit, car un malware neuf contourne les signatures connues.

Prévention : réduire les surfaces d'attaque

Pour réduire les surfaces d'attaque, il faut appliquer 5 mesures, chacune fermant une porte d'entrée documentée par les analyses de malware publiées. Ces mesures portent sur le logiciel, le compte, le navigateur, la messagerie et le poste de travail.

• Maintenir le système d'exploitation, le navigateur et les logiciels critiques à jour, car la majorité des infections exploitent une vulnérabilité déjà corrigée par une mise à jour disponible depuis plus de 30 jours.
• Appliquer le principe du moindre privilège : chaque compte utilisateur ne dispose que des droits nécessaires, et le compte administrateur est réservé aux tâches d'installation et de configuration.
• Désactiver les modules de macros non signés dans les traitements de texte et les tableurs, vecteur classique du malware livré par un document Office.
• Utiliser un navigateur avec un gestionnaire de mots de passe intégré et des extensions limitées, car une extension de navigateur qui revendique un accès illimité au clavier est un point d'entrée privilégié pour un logiciel espion.
• Activer la virtualisation du système et les sauvegardes automatiques hors ligne, afin qu'un rançongiciel qui chiffre les fichiers locaux ne puisse pas atteindre la copie de secours.

Détection : signer chaque signal

Pour signer chaque signal de détection, il faut combiner 3 sources, car un seul moteur laisse passer les nouveaux échantillons. Les 3 sources sont le moteur de signature, le détecteur heuristique et la plateforme de supervision réseau. Le moteur de signature compare les fichiers à une base de données d'empreintes, le détecteur heuristique observe les comportements suspects, et la plateforme de supervision corréle les alertes sur l'ensemble des postes pour repérer un botnet en formation.

Réponse : contenir avant de purger

Pour contenir avant de purger, il faut suivre la séquence des 5 étapes de suppression décrite plus haut, en ajoutant une étape de documentation : chaque incident est consigné avec ses indicateurs, sa famille de malware et la durée de la réponse, afin que la prochaine vague soit détectée plus vite. Cette documentation alimente les tables de bord de la plateforme de supervision et sert de base aux audits de sécurité qui suivent un incident majeur, comme les bilans publiés après les vagues de rançongiciels de 2017 et de 2018.

Quelques mots du vocabulaire du champ

Ce vocabulaire structure les discussions entre analystes, éditeurs de sécurité et responsables de défense ; chaque terme désigne un objet précis que la page a déjà présenté sous sa forme complète. Les 8 termes ci-dessous couvrent l'essentiel des échanges professionnels.

• Malware : tout logiciel nuisible, famille englobant les 9 types présentés plus haut.
• Threat : menace au sens large, qui couvre le malware et les vecteurs d'attaque qui le livrent.
• Zero-day : vulnérabilité exploitée avant qu'un correctif soit publié, fenêtre d'exposition de quelques jours à quelques semaines.
• Backdoor : porte dérobée qui maintient un accès distant après la compromission initiale.
• Keylogger : module qui enregistre les frappes de clavier, souvent embarqué dans un cheval de Troie bancaire.
• Sandbox : bac à sable virtuel qui exécute un échantillon en isolation pendant l'analyse.
• Heuristique : méthode de détection qui observe le comportement plutôt que de comparer l'empreinte à une base connue.
• IOC : indicateur de compromission, tel qu'une empreinte de hachage, une adresse IP ou un nom de domaine associé à une campagne.

La maîtrise de ces 8 termes permet de lire les rapports d'analyse, les alertes des plateformes de supervision et les annonces de démantèlement publiées par les équipes de recherche, et de situer chaque incident dans la grille des 9 familles et les 3 couches de défense présentées sur cette page.

Pour aller plus loin

MALWAREMalwareBazaar, la base de spécimensLa base ouverte de spécimens malveillantsMALWAREPhishing, signification et repérageSignification, types et signaux de reconnaissanceANTI-HACK ET SES CONCEPTSPhishing expliquéDéfinition, mécanismes et exemples d'emails