Antivirus et malware : détection, limites et vérifications
Malware, c’est la famille ; virus, c’est une branche
Le mot malware contracte malicious software. Il couvre tout programme écrit pour agir contre l'intérêt de celui qui tient le clavier : le virus qui infecte d'autres exécutables, le ver qui se propage seul sur le réseau, le cheval de Troie déguisé en crack ou en utilitaire de nettoyage, le ransomware qui chiffre les documents puis affiche une adresse de paiement, le spyware qui remonte les frappes clavier, le rootkit qui se glisse sous le système pour ne plus apparaître dans la liste des processus. Le virus au sens strict, lui, désigne une chose précise : du code qui s'insère dans un fichier hôte et se recopie à chaque fois que ce fichier est lancé. Cette forme est aujourd'hui minoritaire, largement remplacée par des droppers qui téléchargent leur charge utile et par des chargeurs qui ne touchent jamais le disque.
Le terme antivirus est un reste des années 1990.
À l'époque, les produits traquaient effectivement des virus de secteur d'amorçage et des infecteurs de fichiers COM et EXE, et rien d'autre. Un logiciel publicitaire ou un enregistreur de frappe passait au travers parce qu'il ne se reproduisait pas. Les éditeurs d'anti-malwares se sont engouffrés dans ce trou, avant que les antivirus n'élargissent leur périmètre. Résultat : deux étiquettes, un seul moteur d'analyse.
Si vous hésitez entre un produit estampillé antivirus et un produit estampillé anti-malware, comparez les moteurs et les tests indépendants, pas les mots sur la boîte.
Quatre couches de détection, pas une
La signature reste la couche de base : une empreinte du fichier (hash SHA-256) ou un motif d'octets repéré à un offset donné, comparé à ce qui arrive sur le disque. C'est rapide, quasi sans faux positif, et complètement inopérant dès qu'un seul octet change. Les auteurs de malwares le savent depuis longtemps, d'où les packers, le chiffrement de la charge utile et les générateurs qui produisent un binaire différent à chaque build. Les compteurs d'AV-TEST enregistrent plus de 450 000 nouveaux programmes malveillants et applications indésirables par jour, ce qui donne l'ordre de grandeur : une base de signatures exhaustive n'existe pas.
D'où les trois autres couches.
| Méthode | Ce qu'elle examine | Limite |
|---|---|---|
| Signature | Hash ou motif d'octets du fichier sur disque | Aveugle dès qu'un octet change |
| Heuristique statique | Structure du binaire, sections, API importées, entropie | Faux positifs sur les installeurs et les packers légitimes |
| Analyse comportementale | Actions du processus pendant son exécution | Détecte une fois l'action commencée |
| Réputation cloud | Prévalence du fichier, âge, certificat de signature | Sans effet hors connexion |
Un exemple de ce que voit vraiment le moteur
Côté Windows, AMSI (Antimalware Scan Interface) illustre bien le fonctionnement moderne. Introduite avec Windows 10, cette interface expose à l'antivirus le contenu déchiffré des scripts PowerShell, VBScript, JScript et des macros Office, juste avant leur exécution par le moteur de script. Un one-liner obfusqué en base64 arrive donc en clair sous les yeux du scanner, au moment précis où il est déplié en mémoire. C'est la réponse à une génération entière de charges utiles qui ne s'écrivaient jamais sur le disque.
Pour tester votre protection sans manipuler quoi que ce soit de dangereux, il existe un fichier prévu pour ça. La chaîne EICAR, publiée par l'European Institute for Computer Antivirus Research, compte 68 caractères ASCII, ne contient aucune instruction hostile, et est reconnue par convention par la quasi-totalité des moteurs :
X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
Collez-la dans un fichier texte et enregistrez. Si rien ne se passe, la protection en temps réel ne tourne pas.
- `Get-MpComputerStatus` : affiche RealTimeProtectionEnabled, AMServiceEnabled et la date des définitions dans AntivirusSignatureLastUpdated.
- `Update-MpSignature` : force le téléchargement des définitions Defender sans attendre Windows Update.
- `Start-MpScan -ScanType QuickScan` : analyse rapide des emplacements habituels de persistance.
- `Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct` : liste les antivirus déclarés au centre de sécurité et leur productState (wmic donnait la même chose, mais disparaît des versions récentes de Windows).
- `freshclam && clamscan -r --infected /home` sous Linux : met à jour la base ClamAV puis n'affiche que les fichiers détectés, avec un code de retour 1 en cas de trouvaille, pratique dans une tâche cron.
Les angles morts d’un scanner de fichiers
Un antivirus examine des fichiers et des processus sur une machine. Il ne voit pas la page de phishing qui recopie l'interface Microsoft 365 et récupère un mot de passe : aucun code hostile n'a touché le poste. Il ne voit pas davantage le cookie de session volé, ni l'attaquant qui se connecte ensuite avec des identifiants parfaitement valides. Entre une infection et une intrusion par abus d'identifiants, seul le premier scénario déclenche une alerte.
Le signal utile bascule alors côté réseau. Une machine compromise finit presque toujours par parler à son serveur de commande : résolutions DNS vers un domaine enregistré la veille, connexions sortantes régulières sur 443 vers une IP sans historique, balises espacées de 60 secondes avec une variation aléatoire pour brouiller la régularité. Sur un poste suspect, `netstat -ano` sous Windows et `ss -tupn` sous Linux donnent les connexions établies avec le PID associé ; remonter au processus parent apprend souvent plus que le verdict du scanner.
Cas de panne classique : l'utilisateur signale un PC lent, l'antivirus ne trouve rien, et le routeur montre plusieurs centaines de connexions sortantes vers des IP de pays où l'entreprise n'a aucun client. L'antivirus est propre parce que le binaire est signé avec un certificat volé, ou parce qu'il s'agit d'un outil d'administration légitime détourné.
Contre le ransomware, c'est la sauvegarde qui décide de l'issue. Un moteur peut rater un chargeur ; une sauvegarde hors ligne ou immuable, elle, ne se chiffre pas depuis le poste infecté.
Defender, suite payante ou EDR
Microsoft Defender Antivirus est actif par défaut sur Windows 10 et 11, mis à jour par Windows Update, et il obtient depuis plusieurs années des scores de protection comparables à ceux des suites commerciales dans les campagnes d'AV-TEST et d'AV-Comparatives. Pour un poste personnel tenu à jour, une suite payante ajoute surtout du périphérique : VPN, coffre à mots de passe, contrôle parental, nettoyage de disque. Rien de tout cela n'est du moteur de détection.
Un point pratique : sur Windows, Defender passe en mode passif dès qu'un antivirus tiers s'enregistre auprès du Security Center. Installer deux protections en temps réel ne double pas la sécurité, cela produit des blocages mutuels, des exclusions oubliées et des temps de compilation qui triplent.
En entreprise, le calcul change.
Ce qui manque à un antivirus classique, c'est la mémoire. Une alerte vous dit qu'un fichier a été bloqué, pas ce qui s'est passé pendant les trois semaines précédentes. Un EDR conserve la télémétrie des créations de processus, des connexions sortantes et des écritures de fichiers, ce qui permet de répondre à la seule question qui compte après une détection : qu'est-ce qui a été touché, et depuis quand ? S'y ajoutent la console centralisée et l'isolation réseau d'un poste à distance, qui transforment une heure de déplacement en un clic.
Un antivirus est un logiciel qui détecte et neutralise les malwares, c'est-à-dire tout code écrit pour nuire : virus, ransomware, cheval de Troie, spyware, rootkit. Les produits actuels ne se limitent plus aux signatures de virus, ils empilent heuristique, surveillance du comportement et réputation cloud, ce qui rend la vieille distinction entre antivirus et anti-malware surtout commerciale.
Questions fréquentes
Faut-il installer un antivirus et un anti-malware en même temps ?
Deux moteurs en protection temps réel sur la même machine se gênent : verrous de fichiers concurrents, détections croisées, performances dégradées. En revanche, un scanner à la demande utilisé ponctuellement en second avis (Malwarebytes en mode manuel, ou un envoi de l'échantillon sur VirusTotal qui agrège une soixantaine de moteurs) ne pose pas ce problème, puisqu'il ne s'accroche pas au système de fichiers en permanence.
Microsoft Defender suffit-il vraiment ?
Pour un usage personnel sur un Windows à jour, oui dans la plupart des cas : le moteur figure régulièrement dans le haut des classements des laboratoires indépendants et ne coûte rien. La limite n'est pas la détection mais la gestion : pas de console centrale dans la version grand public, pas de rétention de télémétrie, pas de réponse à distance. C'est le passage à Defender for Endpoint ou à un EDR tiers qui apporte ces fonctions.
Un antivirus arrête-t-il un ransomware ?
Parfois, et plutôt au stade du chargeur qu'au stade du chiffrement. Les moteurs récents surveillent les écritures massives et les suppressions de clichés instantanés (`vssadmin delete shadows`), ce qui permet de couper la chaîne en cours de route. Mais un opérateur qui est entré par RDP avec un mot de passe valide, a désactivé la protection contre l'altération et lancé le chiffrement depuis un compte administrateur ne sera pas arrêté par le scanner. Une sauvegarde hors ligne testée reste la seule garantie de restauration.
Comment savoir si une machine est infectée quand le scanner ne trouve rien ?
Regardez le réseau et la persistance plutôt que les fichiers. Connexions sortantes inhabituelles avec `netstat -ano` ou `ss -tupn`, tâches planifiées créées récemment, clés Run du registre, services inconnus, exclusions ajoutées dans l'antivirus. Une exclusion de dossier que personne n'a configurée est un signal fort : c'est une des premières actions d'un attaquant qui a obtenu les droits administrateur.
macOS et Linux ont-ils besoin d’un antivirus ?
macOS embarque déjà XProtect pour la détection par signature, Gatekeeper pour le contrôle de la signature des applications et XProtect Remediator pour la remédiation, le tout mis à jour silencieusement par Apple. Sur Linux, ClamAV est surtout déployé sur les serveurs de fichiers et de messagerie, pour éviter de servir aux postes Windows des pièces jointes vérolées. Dans les deux cas, le risque dominant n'est pas le virus classique mais le phishing et les dépendances compromises.
Testez vos connaissances
Que désigne exactement le mot malware ?
Score : 0 sur 3