Anti-malware : détection, limites et vérification

Ce qu’un anti-malware fait, couche par couche

Un anti-malware travaille en trois temps. Avant l'exécution, un pilote intercepte chaque ouverture de fichier : sous Windows, le moteur s'enregistre comme minifilter du système de fichiers dans la plage d'altitude 320000 à 329998 réservée aux antivirus, ce qui lui donne la main avant le programme appelant. Pendant l'exécution, il surveille les appels système, les injections de code dans d'autres processus et les écritures massives. Ensuite seulement il isole ce qu'il a trouvé.

La quarantaine n'est pas un déplacement de fichier. Le binaire est copié dans un conteneur chiffré ou ré-encodé, ce qui casse son en-tête et l'empêche d'être lancé par accident, puis l'original est effacé. C'est aussi pour ça qu'un fichier légitime mis en quarantaine ne se récupère pas en le glissant hors du dossier : il faut passer par la fonction de restauration du produit, qui reconstruit l'original.

Un produit qui se contente d'une analyse planifiée le dimanche ne protège de rien. La couche temps réel est celle qui décide.

Famille	Ce qu'elle cherche	Signal typique sur le poste
Ransomware	Chiffrer les fichiers puis vendre la clé	Écritures massives et suppression des clichés VSS (vssadmin delete shadows /all /quiet)
Cheval de Troie	Ouvrir un accès distant durable	Connexions sortantes régulières vers une IP fixe
Stealer	Exfiltrer mots de passe, cookies, portefeuilles	Lecture des bases de profil des navigateurs
Cryptomineur	Utiliser le CPU ou le GPU de la machine	Charge processeur constante, trafic Stratum vers un pool
Rootkit	Se rendre invisible au système	Écart entre la liste des processus vue par le noyau et celle vue par l'API utilisateur
Adware	Injecter de la publicité dans la navigation	Proxy local ou extension de navigateur ajoutée sans action de l'utilisateur

Antivirus, anti-malware, EDR : ce qui change vraiment

Entre antivirus et anti-malware, il n'y a pas de différence technique. Le virus est un type de malware parmi d'autres, celui qui se réplique en infectant des fichiers hôtes, et il est devenu minoritaire face aux chevaux de Troie et aux ransomwares. Certains éditeurs ont gardé le mot antivirus pour sa notoriété, d'autres se sont positionnés sur anti-malware à la fin des années 2000 pour signaler qu'ils traitaient aussi les adwares et les programmes potentiellement indésirables que les suites classiques laissaient passer. Microsoft Defender Antivirus détecte aujourd'hui les mêmes catégories que n'importe quel produit vendu sous l'étiquette anti-malware.

L'écart réel se situe entre un anti-malware et un EDR. L'anti-malware décide seul, sur la machine, et bloque ou laisse passer. L'EDR enregistre en continu l'arbre des processus, les lignes de commande, les connexions sortantes et les modifications de registre, envoie tout à une console centrale, puis permet de reconstituer l'incident après coup et d'isoler l'hôte du réseau à distance. Sur dix postes, un anti-malware fait le travail. Sur deux cents, l'absence de télémétrie centralisée signifie que vous apprenez l'incident par l'utilisateur qui n'ouvre plus ses fichiers.

Vous croiserez les trois orthographes anti-malware, antimalware et anti malware. Elles désignent le même produit.

• Antivirus et anti-malware : blocage local, décision immédiate, pas de mémoire au-delà du journal d'événements
• EDR : télémétrie continue, recherche rétrospective sur plusieurs semaines, isolation réseau à distance
• XDR : la même logique étendue à la messagerie, à l'identité et aux services cloud
• Pare-feu et filtrage DNS : ils bloquent la mise en relation, pas le fichier lui-même

Comment un moteur décide qu’un fichier est malveillant

Aucun moteur sérieux ne repose sur une seule méthode. La signature reste utile parce qu'elle est rapide et quasiment sans faux positif quand elle porte sur un hachage exact, mais elle ne voit rien d'un binaire recompilé le matin même. Un échantillon fraîchement généré passe régulièrement au travers d'une majorité de moteurs pendant quelques heures, le temps que les bases se propagent.

AMSI (Antimalware Scan Interface), arrivé avec Windows 10, répond à un cas précis : le script obfusqué. PowerShell, VBScript, JScript, les macros Office et le chargement d'assemblies .NET soumettent au moteur anti-malware le contenu réellement exécuté, après désobfuscation, et non le fichier tel qu'il se présente sur le disque. Une commande encodée en Base64 est donc analysée sous sa forme déchiffrée. Les attaquants le savent, et neutraliser cette interface fait partie de leurs premières étapes.

Les noms de détection renseignent sur la méthode employée. Chez Microsoft, un verdict qui se termine par !ml, du type Trojan:Win32/Wacatac.B!ml, vient d'un modèle d'apprentissage et pas d'une signature. Ces verdicts génériques sont ceux qui produisent le plus de faux positifs : exécutable compilé maison, installeur signé par un certificat récent, script d'administration qui manipule le registre.

Méthode	Principe	Angle mort
Signature	Hachage ou motif d'octets comparé à une base	Binaire recompilé, packé ou polymorphe
Heuristique statique	Structure du fichier PE, entropie, imports suspects	Charge utile déchiffrée seulement à l'exécution
Analyse comportementale	Surveillance des appels système pendant l'exécution	Actions lentes, étalées sur plusieurs jours
Sandbox	Détonation dans un environnement isolé	Malware qui détecte la machine virtuelle et reste inerte
Réputation cloud	Prévalence et âge du hachage chez les autres clients	Fichier unique, généré pour une seule cible
AMSI	Contenu de script transmis désobfusqué avant exécution	Binaire natif qui n'utilise aucun moteur de script

Vérifier que la protection tourne vraiment

Le fichier de test EICAR sert exactement à ça. C'est une chaîne ASCII de 68 octets, publiée par l'European Institute for Computer Antivirus Research, que les moteurs reconnaissent par convention et qui ne contient aucun code malveillant. Vous la récupérez sur eicar.org, vous l'enregistrez dans un fichier texte, et la protection temps réel doit réagir avant même que l'enregistrement ne se termine. Si rien ne bouge, ce n'est pas le test qui est en cause. Petite conséquence pratique : la chaîne publiée en clair sur une page web déclenche des alertes chez les visiteurs, d'où sa diffusion sous forme d'archive.

Côté journal, les détections Defender atterrissent dans Applications et services / Microsoft / Windows / Windows Defender / Operational. L'ID 1116 signale la détection, l'ID 1117 l'action appliquée, l'ID 5001 la désactivation de la protection temps réel. Une machine qui affiche un 5001 sans intervention connue mérite un examen immédiat : couper la protection est une étape classique avant un déploiement de ransomware.

Pour un doute sur un fichier isolé, VirusTotal donne le verdict de dizaines de moteurs sur le même échantillon. Deux réserves avant de téléverser. Le fichier devient consultable par les abonnés de la plateforme, donc jamais de document interne ni de binaire métier. Et un seul moteur qui crie au loup quand tous les autres restent muets désigne plus souvent un faux positif qu'une découverte.

• Get-MpComputerStatus : contrôle RealTimeProtectionEnabled, AMServiceEnabled et la date de AntivirusSignatureLastUpdated
• Update-MpSignature : force la mise à jour des définitions sans attendre le cycle Windows Update
• MpCmdRun.exe -Scan -ScanType 2 depuis C:\Program Files\Windows Defender : analyse complète en ligne de commande, ScanType 1 pour l'analyse rapide
• Get-MpPreference : affiche les exclusions en place, première chose à regarder sur un poste infecté malgré une protection active
• Sous Linux : clamscan -ri /home pour une analyse récursive, freshclam pour les bases, clamd en démon sur le port TCP 3310

Là où l’anti-malware du poste ne suffit plus

Le poste voit le fichier une fois qu'il est arrivé. Le réseau peut le voir avant. Un proxy web qui parle ICAP (RFC 3507, port 1344 par défaut) transmet le contenu téléchargé à un service d'analyse externe et attend son verdict avant de le rendre au navigateur : Squid couplé à c-icap et ClamAV en est l'implémentation libre la plus répandue. Même logique sur la messagerie avec clamav-milter branché sur le MTA. Limite connue et non négociable : le trafic chiffré n'est analysable qu'avec une interception TLS, avec la gestion de certificats et les questions de vie privée qui vont avec.

Le filtrage DNS joue sur un autre plan. Un résolveur comme Quad9 (9.9.9.9) refuse de résoudre les domaines connus pour héberger des charges utiles ou servir de commande et contrôle. Il coupe le téléchargement en amont, et coupe aussi le canal de retour d'un poste déjà compromis. Ça ne remplace pas un moteur local, ça réduit le volume de ce qui lui arrive.

La plupart des échecs constatés ne viennent pas du moteur mais de sa configuration.

Reste ce qu'aucun anti-malware ne fera à votre place : des sauvegardes hors ligne testées, et des comptes utilisateurs qui ne sont pas administrateurs locaux. Sans droits d'administration, une charge utile a beaucoup plus de mal à installer un service, un pilote ou une tâche planifiée persistante.

• Des exclusions trop larges : un dossier de build, un partage entier ou une extension mis en liste blanche pour régler une lenteur, et jamais retirés ensuite
• Deux moteurs temps réel sur la même machine, qui s'analysent mutuellement et dégradent les performances sans améliorer la couverture
• La protection contre les altérations désactivée, ce qui laisse un script attaquant modifier les préférences avec Set-MpPreference
• Des mises à jour de définitions bloquées par un proxy authentifié, visibles dans un AntivirusSignatureLastUpdated qui date de plusieurs semaines
• Sur serveur, des exclusions posées à l'aveugle alors que Microsoft documente les chemins et processus à écarter par rôle (contrôleur de domaine, SQL Server, Hyper-V, Exchange)

Questions fréquentes

Faut-il installer un anti-malware si Microsoft Defender est déjà présent ?

Defender couvre les mêmes familles de menaces que les produits payants et il est intégré au système, donc pas de conflit de pilote ni de licence à suivre. Un produit tiers se justifie surtout pour ce qu'il apporte autour du moteur : console d'administration centralisée, rapports, support, fonctions EDR. Pour un poste isolé correctement mis à jour, l'ajout d'un second produit apporte peu.

Peut-on faire tourner deux anti-malwares en même temps ?

Deux moteurs en protection temps réel sur la même machine se surveillent mutuellement, ce qui provoque des ralentissements et parfois des blocages de fichiers légitimes. La combinaison qui fonctionne est un moteur temps réel unique plus un second produit configuré en analyse à la demande seulement, lancé manuellement pour un second avis.

Un anti-malware protège-t-il du phishing ?

Partiellement. Il bloque la pièce jointe ou l'exécutable si le fichier est reconnu, et les extensions navigateur de certaines suites filtrent les URL connues. Mais une page qui se contente de demander vos identifiants ne contient aucun code malveillant à détecter. Contre ce scénario, ce sont l'authentification à deux facteurs et le filtrage DNS ou messagerie qui font le travail.

Comment savoir si une détection est un faux positif ?

Regardez d'abord le nom de la détection : un verdict générique de type Trojan:Win32/Generic ou suffixé !ml est bien plus souvent un faux positif qu'une signature nommée précisément. Ensuite, contrôlez l'origine du fichier et sa signature numérique, et confrontez le hachage sur VirusTotal. Un fichier détecté par un seul moteur sur des dizaines est probablement propre. Si vous ajoutez une exclusion, portez-la sur le chemin exact du fichier et pas sur le dossier parent.

Un anti-malware sert-il à quelque chose sous Linux ou macOS ?

macOS embarque déjà XProtect et Gatekeeper, mis à jour par Apple en arrière-plan, et des malwares macOS existent bel et bien. Sous Linux, ClamAV est surtout déployé sur les serveurs de fichiers et les passerelles mail : il analyse les fichiers Windows qui transitent par la machine, ce qui protège les postes clients plus que le serveur lui-même. Sur un poste Linux de bureau, le gain reste limité par rapport à une gestion rigoureuse des paquets et des droits.

Testez vos connaissances

À lire aussi

antivirus · cheval de troie · adware · botnet