Adware : comment le repérer, le supprimer et éviter qu’il revienne

Un adware est un programme qui affiche ou injecte de la publicité sans votre accord, arrivé le plus souvent avec l'installeur d'un logiciel gratuit. Il se retire en désinstallant le programme, en nettoyant les extensions du navigateur, puis en vérifiant quatre points réseau : DNS, proxy, fichier hosts et certificats racine.

Sommaire

Un logiciel qui revend votre attention

Adware est la contraction d'advertising et software. Le programme affiche de la publicité que vous n'avez pas demandée : fenêtres surgissantes, bannières insérées dans des pages qui n'en contiennent pas, moteur de recherche remplacé par un moteur inconnu qui reverse une commission sur chaque requête. Le modèle économique tient en deux lignes : l'éditeur est payé à l'affichage ou au clic, et il achète sa distribution auprès de réseaux d'installation rémunérés à la machine infectée.

Tous les adwares ne sont pas des logiciels malveillants. Une application gratuite financée par la publicité, qui l'annonce dans son écran d'installation et se désinstalle proprement, reste dans le cadre légal. La bascule se produit quand le programme s'installe sans consentement explicite, masque sa présence, résiste à la désinstallation ou touche au trafic chiffré.

Les éditeurs d'antivirus classent la plupart de ces programmes dans une catégorie intermédiaire : PUA (Potentially Unwanted Application) chez Microsoft, PUP.Optional chez Malwarebytes. Cette étiquette explique pourquoi un adware survit parfois des mois sur un poste protégé. Selon la configuration, le moteur se contente de le signaler, ou le journalise en mode audit sans rien bloquer.

Des publicités apparaissent sur des sites qui n'en affichent pas, y compris sur des pages internes d'entreprise
La page d'accueil et le moteur de recherche par défaut changent seuls, et reviennent après correction
Le navigateur met plusieurs secondes à démarrer, avec un onglet parasite au lancement
Le ventilateur tourne en continu sur une machine au repos, un processus inconnu consommant du CPU
Des redirections vers des pages de faux support technique, avec un numéro de téléphone à appeler

Par où il entre, et comment il tient

Le vecteur numéro un reste l'installeur groupé. Vous téléchargez un convertisseur PDF ou un lecteur vidéo depuis un site agrégateur plutôt que depuis celui de l'éditeur, l'installeur propose une « installation recommandée » avec des cases pré-cochées, et trois composants partenaires s'ajoutent au vôtre. Cliquer sur « installation personnalisée » et décocher suffit dans la majorité des cas.

Le second vecteur est plus sournois : le rachat d'extension de navigateur. Une extension légitime avec quelques centaines de milliers d'utilisateurs change de propriétaire, la mise à jour automatique pousse un nouveau code, et l'extension que vous aviez validée deux ans plus tôt se met à injecter des scripts. Aucun avertissement n'est affiché, puisque les permissions demandées n'ont pas changé.

Sur macOS, la famille Shlayer s'est longtemps propagée sous forme de fausse mise à jour Flash, qui installait ensuite des adwares comme Bundlore ou Pirrit. Kaspersky indiquait en janvier 2020 avoir rencontré Shlayer sur environ un Mac sur dix parmi les utilisateurs de ses produits en 2019, en tête de son classement des menaces macOS. Le chiffre porte sur son propre parc et n'est pas un échantillon représentatif du parc français.

La persistance suit toujours la même logique : un point de relance automatique, plus un mécanisme de réinstallation si le premier saute.

Emplacement	Système	Ce qu'on y trouve
HKCU\Software\Microsoft\Windows\CurrentVersion\Run	Windows	Lancement du module publicitaire à l'ouverture de session
Planificateur de tâches, déclencheur horaire	Windows	Réinstallation du composant supprimé la veille
Raccourci .lnk du navigateur	Windows	URL ajoutée après chrome.exe dans la cible du raccourci
~/Library/LaunchAgents/*.plist	macOS	Agent relancé à chaque ouverture de session
Profil de configuration	macOS	Moteur de recherche verrouillé, extension imposée au navigateur
Extension de navigateur	Tous	Injection de scripts dans les pages consultées

Les traces réseau qui le trahissent

Un adware qui se contente d'ouvrir des fenêtres est facile à voir. Celui qui touche à la résolution de noms ou au routage du trafic se remarque moins, et fait bien plus de dégâts. Quatre points de contrôle suffisent à couvrir l'essentiel du terrain : les serveurs DNS, le proxy système, le fichier hosts et le magasin de certificats racine.

Le cas d'école côté DNS reste DNSChanger. L'opération Ghost Click du FBI, annoncée le 8 novembre 2011, visait un réseau qui avait modifié les serveurs DNS de plus de 4 millions de machines dans plus de 100 pays, pour les rediriger vers des résolveurs situés dans des plages contrôlées par les opérateurs de la fraude, notamment 85.255.112.0/20 et 67.210.0.0/20. Les résolveurs de remplacement mis en place par le FBI ont été éteints le 9 juillet 2012, et les machines encore infectées ce jour-là se sont retrouvées sans résolution de noms du tout.

Côté certificats, l'affaire Superfish a montré jusqu'où un adware peut aller. Le logiciel, préinstallé sur des portables grand public Lenovo vendus entre l'automne 2014 et début 2015, injectait des publicités dans les pages HTTPS. Pour cela il installait sa propre autorité de certification racine, identique sur toutes les machines, avec une clé privée extractible protégée par un mot de passe trivial. N'importe qui sur le même réseau Wi-Fi pouvait alors présenter un faux certificat pour n'importe quel domaine bancaire, et le navigateur l'acceptait sans broncher. L'alerte US-CERT TA15-051A du 20 février 2015 documente le problème.

Un symptôme déroutant en pratique : les redirections n'affectent qu'une partie du poste. Si votre navigateur utilise DNS over HTTPS (RFC 8484), il court-circuite le résolveur système et navigue normalement, pendant que le client de messagerie et les mises à jour du système partent vers le résolveur pirate. Vérifiez toujours la résolution au niveau système, pas seulement depuis un onglet.

ipconfig /all sur Windows, scutil --dns sur macOS : les serveurs DNS doivent être ceux de votre box ou du résolveur que vous avez choisi
netsh winhttp show proxy : la réponse attendue sur un poste sans proxy d'entreprise est « Accès direct (pas de serveur proxy) ». Une valeur du type 127.0.0.1:9090 signale un proxy local d'injection
type C:\Windows\System32\drivers\etc\hosts, ou cat /etc/hosts : cherchez des entrées pointant vers 127.0.0.1 ou vers une IP publique inconnue
Get-ChildItem Cert:\LocalMachine\Root | Where-Object {$_.Issuer -eq $_.Subject} : liste les autorités racine auto-signées, où un émetteur inconnu n'a rien à faire
sudo profiles list sur macOS, ou Réglages Système puis Général et VPN et gestion des appareils : aucun profil ne devrait exister sur une machine personnelle

Adware, bloatware, spyware : ce qui les sépare

Les quatre termes se recouvrent partiellement, ce qui explique la confusion. Superfish était les deux à la fois : un bloatware, parce qu'il sortait d'usine avec la machine, et un adware, parce que sa fonction était d'insérer des publicités. Le critère utile n'est pas l'origine du programme mais ce qu'il fait de votre trafic.

PUA et PUP ne désignent pas une famille technique. Ce sont des verdicts d'antivirus, appliqués à des programmes légaux mais indésirables, avec un traitement par défaut plus souple que pour un cheval de Troie.

Terme	But premier	Arrive par	Signe distinctif
Adware	Afficher ou injecter de la publicité	Un installeur groupé, une extension	Publicités hors contexte, moteur de recherche changé
Bloatware	Préinstaller des logiciels partenaires	Le fabricant, en usine	Présent au premier démarrage, avant tout téléchargement
Spyware	Collecter des données à l'insu de l'utilisateur	Installation silencieuse ou groupée	Aucun signe visible, trafic sortant régulier vers un serveur de collecte
Cheval de Troie	Ouvrir un accès distant	Un fichier déguisé en logiciel utile	Connexions vers un serveur de commande
PUA / PUP	Étiquette de classement antivirus	Variable	Détecté et signalé, pas toujours supprimé

Nettoyer un poste sans le reformater

Commencez par le plus simple : la liste des programmes installés, triée par date. Un adware laisse presque toujours une entrée désinstallable, avec un nom générique du type « Search Manager » ou « Media Player Enhancer ». Retirez-la, puis passez aux extensions du navigateur et vérifiez la cible du raccourci de lancement, qui contient souvent une URL ajoutée après le nom de l'exécutable.

Un outil spécialisé fait gagner du temps sur la phase suivante. AdwCleaner, gratuit et édité par Malwarebytes, cible précisément les adwares, les barres d'outils et les détournements de navigateur. Attention à un réflexe périmé : Google a retiré le Chrome Cleanup Tool intégré au navigateur à partir de Chrome 111, en 2023, il ne sert plus à rien de le chercher dans les paramètres.

Sur Windows, activez la protection contre les applications indésirables si elle ne l'est pas. En PowerShell administrateur : Set-MpPreference -PUAProtection Enabled. La valeur se relit avec Get-MpPreference | Select-Object PUAProtection, où 0 signifie désactivée, 1 activée et 2 mode audit. Le mode audit journalise sans bloquer, ce qui donne l'illusion d'une protection active.

Terminez par les quatre contrôles réseau de la section précédente. Un adware retiré à moitié, dont le certificat racine reste dans le magasin, laisse la porte ouverte à une interception ultérieure par quelqu'un d'autre.

Sur le plan légal, en France, installer un programme sur un poste sans le consentement de son utilisateur peut relever de l'article 323-3 du code pénal, qui punit l'introduction frauduleuse de données dans un système de traitement automatisé de 5 ans d'emprisonnement et 150 000 euros d'amende. Le dépôt ou la lecture d'informations sur un terminal relève par ailleurs de l'article 82 de la loi Informatique et Libertés, qui exige un consentement préalable. Ces textes visent l'éditeur, jamais la personne infectée.

Testez vos connaissances

Quiz rapide Question 1 sur 3

Quelle commande Windows révèle un proxy local installé par un adware ?

Questions fréquentes

Un adware est-il un virus ?

Non au sens strict : il ne se réplique pas et n'infecte pas d'autres fichiers. La plupart des moteurs le classent en PUA, une catégorie moins sévère. Cela ne le rend pas inoffensif pour autant : Superfish était un adware, et il cassait la vérification des certificats HTTPS sur des dizaines de milliers de machines.

Pourquoi mon antivirus le détecte sans le supprimer ?

Parce qu'un adware est souvent un logiciel légal, accompagné d'une licence acceptée pendant l'installation. Les éditeurs évitent de supprimer d'office ce qui pourrait être un choix de l'utilisateur. Sur Windows, vérifiez le réglage avec Get-MpPreference | Select-Object PUAProtection : s'il vaut 2, vous êtes en mode audit, donc les détections sont enregistrées mais rien n'est bloqué.

Les publicités n’apparaissent que dans Chrome, est-ce quand même un adware ?

C'est le scénario d'une extension malveillante, pas d'une infection système. Testez dans un profil invité et dans un autre navigateur. Si les publicités disparaissent, désactivez les extensions une par une. Si elles suivent partout, y compris hors navigateur, le problème se situe au niveau du proxy système, du DNS ou du fichier hosts.

Un adware peut-il lire mes mots de passe ?

Un adware classique, non : il agit dans la page une fois celle-ci déchiffrée par le navigateur. Mais dès qu'il installe une autorité de certification racine et un proxy local, il déchiffre le HTTPS avant votre navigateur et voit le contenu des formulaires. Un certificat racine inconnu dans le magasin est le signal qui justifie un changement de mots de passe.

Et sur Android ?

L'adware mobile se manifeste par des publicités plein écran qui surgissent hors de toute application, souvent quelques jours après l'installation pour passer sous le radar des tests de la boutique. L'icône disparue du tiroir d'applications est un indice classique. Regardez dans Paramètres, Applications, Accès spécial, « Afficher par-dessus les autres applications » : peu d'applications légitimes ont besoin de cette permission.