Antimalware : détection, vérification et angles morts

Un antimalware est un logiciel qui détecte, bloque et supprime les programmes malveillants présents ou en cours d'exécution sur une machine, en combinant signatures, analyse statique, exécution en bac à sable et surveillance comportementale. Le terme couvre la même catégorie de produits que le mot antivirus, avec un périmètre annoncé plus large : chevaux de Troie, ransomwares, infostealers, rootkits, adwares et cryptomineurs, pas seulement les virus qui infectent des fichiers.

Antimalware, antivirus : le même produit, deux époques

L'antivirus des années 1990 faisait une chose : comparer des fichiers à une base de motifs d'octets correspondant à des virus connus, c'est-à-dire à du code qui se recopie dans d'autres exécutables. Cette famille est devenue minoritaire. Un poste compromis aujourd'hui l'est bien plus souvent par un cheval de Troie téléchargé volontairement, un chargeur livré par pièce jointe ou un infostealer qui aspire les cookies de session du navigateur.

Le mot antimalware a été poussé dans les années 2000 par des éditeurs qui voulaient marquer cette différence de périmètre. La distinction est désormais commerciale bien plus que technique : Microsoft Defender Antivirus, ESET, Bitdefender ou Sophos détectent les mêmes familles quel que soit le mot sur la boîte. Si un produit s'appelle antivirus et un autre antimalware, comparez les moteurs et les résultats de tests indépendants, pas les noms.

Une confusion coûte plus cher : celle entre antimalware et EDR. Le premier prend une décision locale et immédiate, bloquer ou laisser passer. Le second enregistre la télémétrie (processus lancés, connexions sortantes, écritures de fichiers) et la remonte à une console pour reconstituer une chaîne d'attaque après coup, y compris quand rien n'a été bloqué. Les suites actuelles font souvent les deux, mais ce sont deux fonctions séparées, et la seconde ne vaut rien sans quelqu'un pour lire les alertes.

• Cheval de Troie : se présente comme un logiciel utile et ouvre un accès distant une fois lancé
• Ransomware : chiffre les fichiers et réclame une rançon, presque toujours après une exfiltration préalable (double extorsion)
• Infostealer : vole mots de passe enregistrés, cookies de session et portefeuilles de cryptomonnaie, puis disparaît
• Rootkit et bootkit : se chargent sous le système ou avant lui pour rester invisibles aux outils classiques
• Adware et programmes indésirables (PUP/PUA) : injectent de la publicité, changent le moteur de recherche, souvent installés par un installeur légitime
• Cryptomineur : consomme le CPU ou le GPU pour le compte d'un tiers, sans détruire quoi que ce soit
• Ver : se propage seul sur le réseau, historiquement via des services exposés comme SMB sur le port 445

Comment un antimalware décide qu’un fichier est malveillant

Aucun moteur ne repose sur une seule technique. Chaque couche attrape ce que la précédente laisse passer, et chacune a un angle mort connu, que les attaquants exploitent méthodiquement.

Sous Windows, AMSI (Antimalware Scan Interface, introduit avec Windows 10) change la donne pour les scripts. L'interface transmet au moteur le contenu réellement exécuté, après désobfuscation : PowerShell, les macros VBA d'Office, JScript et une partie du chargement .NET passent par là. Un script chiffré en base64 sur trois lignes est donc analysé une fois déchiffré, pas avant. C'est pourquoi beaucoup d'attaques commencent par une tentative de neutralisation d'AMSI en mémoire, typiquement un patch de la fonction AmsiScanBuffer dans le processus courant, avant même de télécharger la charge utile.

Au démarrage, le pilote ELAM (Early Launch Anti-Malware), présent depuis Windows 8, permet au moteur de se charger avant les autres pilotes de boot. Sans lui, un bootkit s'installe en premier et décide de ce que l'antimalware verra ensuite.

Méthode	Ce qu'elle regarde	Ce qu'elle rate
Signature (hash, motif d'octets)	Le contenu statique du fichier sur disque	Tout binaire recompilé, packé ou généré à la volée pour une seule cible
Heuristique statique	Structure PE, entropie des sections, fonctions importées, éditeur signataire	Un chargeur minuscule dont la charge n'apparaît qu'en mémoire
Émulation et bac à sable	Le comportement du binaire exécuté quelques secondes en environnement isolé	Le code qui détecte la machine virtuelle, ou qui attend un redémarrage ou une action souris
Analyse comportementale temps réel	Appels système, création de processus, chiffrement massif de fichiers, injection	Les outils système détournés (LOLBins : certutil, rundll32, mshta), qui ressemblent à de l'administration
Réputation cloud et modèles statistiques	Prévalence du hash dans le parc mondial, âge du fichier, certificat	Un binaire unique jamais vu ailleurs, au moins le temps du premier verdict

Vérifier en trois minutes qu’il tourne et qu’il voit quelque chose

Un antimalware désactivé depuis six semaines protège autant qu'un fichier texte. Sur un parc, la panne la plus fréquente n'est pas un moteur qui rate une menace, c'est un agent arrêté, une base de signatures figée ou un dossier exclu que personne n'a documenté.

Pour tester la chaîne de détection sans risque, utilisez le fichier EICAR : 68 octets de texte imprimable, totalement inoffensifs, que les moteurs reconnaissent par convention depuis les années 1990. La chaîne est X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*. Écrivez-la dans un fichier et enregistrez : la détection doit être immédiate. Si rien ne bouge, ce qui manque n'est pas un échantillon de malware, c'est la protection temps réel. L'AMTSO publie des tests du même esprit pour la recherche cloud, le blocage d'URL et les programmes indésirables. Ne testez jamais avec un vrai échantillon sur un poste de production.

Côté serveur Linux, ClamAV sert surtout à scanner des flux entrants (pièces jointes sur une passerelle mail, fichiers déposés par des utilisateurs), pas à protéger un poste en temps réel. Le démon clamd écoute par défaut sur le port TCP 3310 quand la socket réseau est activée, et freshclam télécharge les bases main, daily et bytecode.

• Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated : état du service et date réelle de la dernière base
• Get-MpPreference | Select-Object -ExpandProperty ExclusionPath : liste des exclusions, à comparer à ce que vous avez validé
• Start-MpScan -ScanType QuickScan : analyse rapide déclenchée à la main
• "C:\Program Files\Windows Defender\MpCmdRun.exe" -SignatureUpdate : forcer la mise à jour hors Windows Update
• Get-MpThreatDetection : historique des détections avec chemin et action appliquée
• sudo freshclam puis clamscan -r -i /var/www : mise à jour des bases, puis analyse récursive n'affichant que les fichiers infectés

Le trafic sortant en dit plus que le fichier

Un binaire compilé pour une seule victime peut passer sous tous les moteurs. Son trafic, lui, finit par se voir, et c'est là que le réseau prend le relais de l'antimalware.

Le numéro de port ne filtre plus rien : la quasi-totalité des canaux de commande et de contrôle sort en TLS sur le port 443, parfois hébergée derrière un service cloud légitime pour se fondre dans le décor. Ce qui reste exploitable, c'est la forme du trafic. Un poste qui contacte la même adresse IP toutes les 60 secondes à la seconde près ne fait pas de la navigation web, il envoie une balise. Les résolutions DNS vers des domaines enregistrés la veille et les volumes sortants inhabituels sont deux autres signaux peu coûteux à collecter.

Côté DNS, les Response Policy Zones permettent à un résolveur de répondre NXDOMAIN ou de rediriger vers un puits (sinkhole) pour une liste de domaines malveillants. BIND les gère depuis la version 9.8, Unbound depuis la 1.10, PowerDNS Recursor également. Détail utile à connaître : RPZ vient d'un draft IETF jamais publié en RFC, ce qui n'a pas freiné son adoption. Le format des indicateurs de compromission eux-mêmes (hash, adresse IP, domaine, chaîne de caractères), leur durée de vie et leurs limites sont décrits dans la RFC 9424, publiée en novembre 2023.

Deux angles morts à traiter explicitement. Le tunneling DNS fait sortir des données dans des sous-domaines sur le port 53 : bloquer 53/UDP en sortie sauf vers vos résolveurs internes ferme la porte pour quelques lignes de règle. Le DNS over HTTPS, lui, sort en 443 vers un résolveur public et contourne entièrement votre filtrage local ; il faut soit bloquer les résolveurs DoH connus, soit imposer la politique DNS par GPO ou profil navigateur.

Faux positifs, exclusions et pannes provoquées par la protection

Le 21 avril 2010, une mise à jour de signatures McAfee (le fichier DAT 5958) a classé svchost.exe comme le ver W32/Wecorl sur les machines Windows XP SP3. Le fichier étant vital, les postes sont partis en boucle de redémarrage et ont perdu leur connectivité réseau, y compris dans des hôpitaux et des administrations. Le risque de faux positif n'est pas une hypothèse d'école.

Plus récemment, le 19 juillet 2024, une mise à jour de fichier de configuration de l'agent CrowdStrike Falcon a provoqué des écrans bleus en cascade ; Microsoft a estimé publiquement à environ 8,5 millions le nombre d'appareils Windows touchés. Un agent de sécurité tourne en mode noyau : son bug devient votre panne, et aucun antimalware ne se met à jour sans ce risque. D'où l'intérêt d'un déploiement par vagues plutôt que sur tout le parc à la même heure, quand l'éditeur le permet.

Les exclusions sont l'autre piège, dans l'autre sens. Chaque dossier exclu est un emplacement où déposer une charge sans être analysé, et l'ajout d'exclusions via Add-MpPreference -ExclusionPath figure au répertoire standard des attaquants une fois qu'ils ont les droits administrateur. Les exclusions légitimes existent (bases SQL Server, répertoires de build, machines virtuelles), mais elles doivent être écrites quelque part et relues. Une exclusion non documentée est un incident en attente.

Dernier point pratique : n'empilez pas deux moteurs temps réel sur la même machine, ils s'analysent mutuellement et dégradent les entrées-sorties. Sur Windows 10 et 11 en édition client, Microsoft Defender Antivirus bascule automatiquement en mode passif dès qu'un antivirus tiers s'enregistre auprès du Centre de sécurité Windows. Sur Windows Server, ce basculement n'est pas automatique et doit être configuré.

Testez vos connaissances

Questions fréquentes

Faut-il installer un antimalware en plus de Windows Defender ?

Pas un second moteur temps réel : sur Windows 10 et 11 client, Defender passe en mode passif dès qu'un antivirus tiers s'enregistre auprès du Centre de sécurité, donc vous remplacez au lieu d'ajouter. En revanche un scanner à la demande sans protection temps réel, comme la version gratuite de Malwarebytes, cohabite sans conflit et sert de deuxième avis quand vous suspectez une infection. Sur Windows Server, vérifiez le mode manuellement, le basculement n'y est pas automatique.

Un antimalware arrête-t-il un ransomware ?

Souvent, mais tard. La détection comportementale repère le chiffrement massif de fichiers en quelques secondes et tue le processus, ce qui limite la casse sans l'annuler. Defender propose en complément l'accès contrôlé aux dossiers (Set-MpPreference -EnableControlledFolderAccess Enabled), qui interdit l'écriture dans les dossiers protégés aux applications non approuvées. Surtout, la plupart des groupes exfiltrent les données avant de chiffrer : même un blocage réussi ne récupère pas ce qui est déjà sorti. Une sauvegarde hors ligne testée reste la seule réponse au chiffrement lui-même.

Un Mac ou un serveur Linux ont-ils besoin d’un antimalware ?

macOS embarque déjà XProtect, XProtect Remediator et la vérification de notarisation par Gatekeeper, qui travaillent en silence ; un produit tiers ajoute surtout de la visibilité et de la gestion de parc, utiles en entreprise. Sur un serveur Linux, ClamAV a du sens pour scanner les fichiers déposés par des utilisateurs ou les pièces jointes, beaucoup moins comme protection de poste. Le risque réel y est plutôt un webshell écrit sur mesure dans /var/www, qu'aucune signature ne connaît : une surveillance d'intégrité de fichiers (AIDE, Tripwire) et un filtrage du trafic sortant sont plus efficaces.

Comment tester que mon antimalware fonctionne, sans danger ?

Créez un fichier contenant la chaîne de test EICAR (68 octets de texte imprimable, sans aucun code malveillant) et enregistrez-le : la détection doit être immédiate, avec une alerte et une mise en quarantaine. L'AMTSO met à disposition des tests complémentaires pour la recherche cloud, le blocage d'URL malveillantes et les programmes indésirables. N'utilisez jamais un échantillon réel pour ce genre de vérification, encore moins sur une machine connectée au réseau de production.

L’antimalware ralentit-il vraiment la machine ?

L'analyse temps réel s'insère dans les entrées-sorties fichier, donc oui, sur les charges qui écrivent beaucoup de petits fichiers : compilation, indexation, bases de données. La réponse n'est pas de désactiver la protection mais d'appliquer les exclusions publiées par l'éditeur applicatif, par exemple les fichiers de données et de journaux d'une instance SQL Server, ou le répertoire de build d'une chaîne d'intégration continue. Ces exclusions doivent être ciblées sur des chemins précis et consignées, pas posées sur un disque entier.

À lire aussi

antivirus · cheval de troie · adware · botnet