MBAM : Malwarebytes Anti-Malware, et les deux autres sens du sigle
MBAM est l'abréviation de Malwarebytes Anti-Malware, un scanner de postes dont la version gratuite ne travaille qu'à la demande, sans protection en temps réel. Le même sigle désigne aussi Microsoft BitLocker Administration and Monitoring, ce qui explique une bonne partie des résultats hors sujet quand vous cherchez « mbam malware ».
Trois pistes derrière quatre lettres
Le sigle qui vous intéresse est presque toujours Malwarebytes Anti-Malware, un scanner de postes édité depuis 2006 par la société Malwarebytes. Le produit a changé de nom en décembre 2016 avec la version 3, qui a fusionné le scanner, l'anti-exploit et l'anti-ransomware dans une seule application appelée simplement « Malwarebytes ». Le sigle est resté collé aux fichiers : le binaire s'appelle toujours mbam.exe et le service Windows MBAMService.
Deuxième piste, sans aucun rapport avec la première : Microsoft BitLocker Administration and Monitoring, un composant du pack MDOP qui centralisait les clés de récupération BitLocker en entreprise. Microsoft l'a retiré au profit de la gestion BitLocker de Configuration Manager puis d'Intune. Pour la date exacte de fin de support, lisez la fiche de cycle de vie Microsoft plutôt qu'un forum : elle a bougé plusieurs fois.
Troisième piste, celle qui motive souvent la recherche : MBAM serait-il lui-même un malware ? Aucune famille de menace connue ne porte ce nom. Le sigle est un nom d'éditeur, pas une signature.
| Sens de MBAM | Éditeur | À quoi ça sert |
|---|---|---|
| Malwarebytes Anti-Malware | Malwarebytes | Détection et suppression de malwares, adwares et programmes indésirables sur un poste |
| Microsoft BitLocker Administration and Monitoring | Microsoft, pack MDOP | Gestion centralisée des clés BitLocker, produit retiré du catalogue |
| Famille de malware nommée « MBAM » | aucun | N'existe pas, le sigle n'est pas un nom de menace |
Version gratuite : un scanner, pas un bouclier
La différence tient en une phrase : la version gratuite analyse quand vous le lui demandez, la Premium surveille en continu. À l'installation, vous obtenez un essai Premium de 14 jours, puis le logiciel retombe en gratuit sans faire beaucoup de bruit. Une bonne partie des postes que l'on croit protégés sont exactement dans cet état : Malwarebytes installé, icône présente, aucune protection active.
Côté réseau, la conséquence est directe. Sans Premium, rien n'empêche une connexion sortante vers une adresse de commande et contrôle. Le poste sera nettoyé après coup, pas empêché de sonner chez l'attaquant.
Autre point à surveiller sur un parc : la version Premium s'enregistre dans le Centre de sécurité Windows, ce qui met la protection en temps réel de Microsoft Defender en veille. C'est un réglage, pas une fatalité. Si vous vouliez garder Defender en première ligne et Malwarebytes en second avis, décochez l'option d'enregistrement dans les paramètres de sécurité du produit.
- Protection Web, blocage de domaines et d'adresses IP : Premium
- Protection contre les ransomwares, surveillance comportementale : Premium
- Protection contre les exploits, durcissement du navigateur et d'Office : Premium
- Analyse manuelle, quarantaine, mises à jour de signatures : disponibles dans les deux versions
Décoder un nom de détection
Malwarebytes nomme ses détections sous la forme Catégorie.Famille.Variante. PUP.Optional.Quelquechose n'est pas un virus : PUP veut dire Potentially Unwanted Program, et la catégorie couvre les barres d'outils, les nettoyeurs douteux et les logiciels empaquetés dans un installeur. PUM, pour Potentially Unwanted Modification, désigne un changement de configuration, typiquement une clé de registre qui désactive une protection Windows, donc pas un fichier. Trojan.Agent, Adware.Elex ou une détection Ransom sont en revanche des menaces au sens classique.
La version 4, sortie fin 2019, a introduit le moteur Katana et des détections statistiques qui apparaissent sous un préfixe du type MachineLearning/Anomalous suivi d'un pourcentage de confiance. Ce sont celles qui produisent le plus de faux positifs sur des binaires internes non signés, un script compilé ou un outil d'admin maison.
Les objets mis en quarantaine sont chiffrés et renommés dans C:\ProgramData\Malwarebytes\MBAMService\Quarantine. Inutile d'essayer de les récupérer à la main, passez par l'historique des détections de l'interface. Le rapport d'analyse s'exporte en texte depuis l'onglet Rapports et donne, ligne par ligne, le type d'objet, le nom de détection, le chemin complet et l'action appliquée.
Le traitement des PUP se paramètre en trois positions : traiter comme un malware, détecter et avertir seulement, ou ignorer. Sur un poste de développeur, la position « avertir » évite de voir un utilitaire portable disparaître au milieu d'une session.
Quand MBAM coupe une IP que vous savez saine
La protection Web travaille au niveau d'un pilote noyau et coupe la connexion avant que le navigateur n'obtienne une réponse. La notification affiche le domaine visé ou, quand le blocage vient de la liste d'adresses, une IP nue sans nom d'hôte.
Le piège classique arrive avec l'hébergement mutualisé et les CDN : votre site part d'une IP qui sert aussi un domaine signalé. Vous voyez alors un blocage sortant sur le port 443 depuis chrome.exe vers une adresse qui est à moitié la vôtre. L'autorisation se fait dans les paramètres, liste d'autorisation, ajouter, autoriser un site web, au choix par domaine ou par adresse IP.
Cas de panne réel : le 27 janvier 2018, une mise à jour de la protection Web a fait grimper la consommation mémoire du service jusqu'à saturer la RAM des machines et a bloqué du trafic parfaitement légitime. Des parcs entiers ont perdu l'accès à Internet pendant quelques heures, le temps qu'un correctif de signatures sorte. Le réflexe à garder : quand un poste perd le réseau juste après une mise à jour, regardez l'état du service Malwarebytes avant d'accuser le DNS, la box ou le FAI.
| Champ de la notification | Ce qu'il vous apprend |
|---|---|
| Domaine ou adresse IP | La cible réelle, une IP nue signale un blocage déclenché sur la liste d'adresses et non sur le nom |
| Port | 443 dans la grande majorité des cas, 80 pour du HTTP en clair |
| Type | Sortant : un processus local appelle. Entrant : quelque chose vous contacte |
| Processus | Chemin complet du binaire responsable, c'est lui qu'il faut examiner en premier |
Faux positifs, faux installeurs
Le mbam.exe légitime vit dans C:\Program Files\Malwarebytes\Anti-Malware. Ailleurs, dans un dossier temporaire ou sous AppData, ce n'est pas Malwarebytes.
L'installeur officiel s'appelle MBSetup.exe et se télécharge depuis malwarebytes.com. Vérifiez sa signature avant de le lancer : en PowerShell, Get-AuthenticodeSignature .\MBSetup.exe doit renvoyer un statut Valid et un sujet au nom de l'éditeur. Une signature valide ne prouve pas tout, un certificat peut être volé, mais une signature absente ou établie à un autre nom clôt la discussion.
Les sites de téléchargement tiers repackagent régulièrement les installeurs avec des extras publicitaires, et des domaines proches du nom officiel distribuent de faux setups. Le sigle sert d'appât, ce qui est l'ironie de ce produit.
Pour désinstaller proprement après un plantage, l'éditeur fournit le Malwarebytes Support Tool, dont le mode avancé retire les pilotes et les clés que le désinstalleur classique laisse derrière lui.
Testez vos connaissances
Que fait la version gratuite de Malwarebytes une fois l'essai terminé ?
Score : 0 sur 3
Questions fréquentes
MBAM suffit-il à remplacer un antivirus ?
Pas dans sa version gratuite, qui ne fait que du scan à la demande : rien ne s'oppose à une infection pendant que vous travaillez. La version Premium peut tenir ce rôle et s'enregistre d'ailleurs dans le Centre de sécurité Windows. Le montage courant sur un poste sans budget reste Microsoft Defender actif en permanence, plus Malwarebytes gratuit comme second avis quand quelque chose cloche.
mbam.exe consomme beaucoup de mémoire, est-ce normal ?
Pendant une analyse, oui. En veille, un service qui monte à plusieurs gigaoctets pointe vers un problème de mise à jour de signatures, comme lors de l'incident de janvier 2018. Redémarrez le service MBAMService, forcez une mise à jour, et si le comportement persiste, désinstallez avec le Support Tool puis réinstallez.
Comment autoriser une adresse IP bloquée par Malwarebytes ?
Paramètres, liste d'autorisation, ajouter, autoriser un site web, puis choisissez l'entrée par adresse IP. L'autorisation par domaine ne couvre pas un blocage déclenché sur l'IP : quand vous ne savez pas laquelle des deux a joué, créez les deux entrées.
Quel rapport entre MBAM et l’outil BitLocker de Microsoft ?
Aucun, en dehors des quatre lettres. Microsoft BitLocker Administration and Monitoring servait à stocker et récupérer les clés BitLocker d'un parc, il a été retiré au profit de Configuration Manager puis d'Intune. Si votre recherche portait sur des clés de récupération, c'est de ce côté qu'il faut chercher.
Une détection PUP.Optional est-elle grave ?
Rarement dangereuse, souvent indésirable : adware, barre d'outils, utilitaire empaqueté avec un autre logiciel. Regardez le chemin du fichier. S'il s'agit d'un outil que vous avez installé volontairement, restaurez-le depuis la quarantaine et ajoutez-le à la liste d'autorisation, sinon la prochaine analyse le reprendra.