Logiciel antivirus : fonctionnement, vérification et limites

Les couches de détection empilées dans un antivirus

Quand vous double-cliquez sur un fichier, un pilote filtre intercepte l'ouverture avant que le système ne rende la main au programme appelant : un minifilter sur Windows, fanotify sur Linux. Le moteur dispose alors de quelques millisecondes pour trancher entre laisser passer, bloquer ou mettre en quarantaine. Tout le reste du produit sert à alimenter cette décision.

Depuis Windows 10, l'interface AMSI (Antimalware Scan Interface) donne au moteur le contenu des scripts après désobfuscation : PowerShell, VBScript, JScript et macros VBA d'Office y passent. C'est ce qui permet d'arrêter une commande PowerShell encodée en base64 qui n'existe sur le disque sous aucune forme lisible, donc qu'aucune signature de fichier n'aurait pu reconnaître.

Aucune de ces couches ne suffit seule. La signature ne voit pas une variante recompilée hier, le comportemental n'intervient qu'une fois le code lancé, le cloud ne répond plus si le poste est isolé du réseau.

• Signatures : hachages et motifs d'octets de codes déjà analysés. Verdict rapide, quasiment sans faux positif, aveugle à toute recompilation.
• Heuristique statique : analyse du binaire sans l'exécuter (entropie élevée typique d'un packer, imports suspects, sections anormales, chaînes de caractères).
• Analyse comportementale : le code s'exécute et le moteur observe ses appels système. Un processus Word qui lance powershell.exe puis réécrit 400 fichiers en trois secondes déclenche l'alerte sans qu'aucune signature n'existe.
• Verdict cloud : envoi d'un hachage, parfois d'un échantillon, aux serveurs de l'éditeur. Bloquez les flux sortants vers ces endpoints et le produit retombe sur ses seules signatures locales.
• Bac à sable : exécution dans un environnement isolé avant décision. Coûteux en ressources, donc réservé aux passerelles de messagerie et aux offres entreprise.

Vérifier en deux minutes que la protection tourne vraiment

Le fichier de test EICAR sert exactement à ça. Créez un fichier texte contenant la chaîne de 68 caractères X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H* et enregistrez-le en .com ou .txt. Ce n'est pas un virus : c'est une suite d'octets que tous les éditeurs sérieux se sont engagés à détecter, publiée par l'European Institute for Computer Antivirus Research. Si rien ne se passe dans les secondes qui suivent, votre protection temps réel est désactivée ou l'emplacement est exclu.

L'autre contrôle utile porte sur la fraîcheur des définitions. Sur Windows, le champ AntivirusSignatureLastUpdated retourné par Get-MpComputerStatus doit dater de moins de 48 heures ; Microsoft publie plusieurs mises à jour de renseignement de sécurité par jour. Une date figée depuis trois semaines signale presque toujours un service arrêté ou un poste coupé de Windows Update.

Attention avec l'antivirus intégré : télécharger le fichier EICAR depuis un navigateur le fait souvent bloquer au niveau du filtre web, avant écriture sur le disque. Générez-le localement pour tester la couche fichier.

Système	État de la protection	Analyse à la demande
Windows 10 / 11	Get-MpComputerStatus (champs RealTimeProtectionEnabled, AntivirusSignatureLastUpdated)	Start-MpScan -ScanType QuickScan ou MpCmdRun.exe -Scan -ScanType 2
Linux (ClamAV)	systemctl status clamav-daemon, puis freshclam pour les définitions	clamscan -r -i /home
macOS	system_profiler SPInstallHistoryDataType, filtrer sur XProtect	Pas d'analyse manuelle native : XProtect et Gatekeeper agissent à l'exécution

Antivirus, antimalware, EDR, pare-feu : qui regarde quoi

La distinction entre antivirus et antimalware relève aujourd'hui du marketing. Les vrais virus, au sens de code qui s'injecte dans d'autres exécutables, ne représentent plus qu'une part marginale des menaces ; les produits appelés antivirus détectent depuis longtemps chevaux de Troie, ransomwares, mineurs et adwares. Le nom est resté parce que les utilisateurs le cherchent.

La confusion coûteuse est ailleurs : croire qu'un antivirus remplace un pare-feu, ou qu'un EDR rend l'antivirus superflu. Un EDR enregistre l'arbre des processus et permet d'isoler une machine à distance, mais ses alertes n'ont de valeur que si quelqu'un les lit. Sur un parc de dix postes sans équipe sécurité, l'antivirus bien configuré rend davantage de service qu'un EDR que personne n'exploite.

Outil	Ce qu'il observe	Ce qu'il ne couvre pas
Antivirus / antimalware	Fichiers, mémoire, scripts du poste local	Le trafic entre deux autres machines du réseau
Pare-feu	Connexions réseau : adresses IP, ports, parfois l'application émettrice	Le contenu des fichiers déjà présents sur le disque
EDR	Télémétrie détaillée, historique des processus, réponse et isolation à distance	La prévention seule, et l'analyse humaine que les alertes supposent
Filtrage DNS	Les résolutions de noms sortantes du poste	Un malware qui contacte une IP en dur ou embarque son propre résolveur DoH

Ce qu’aucun antivirus ne bloquera

Le phishing par credential harvesting échappe par construction au moteur. Un utilisateur qui saisit son mot de passe Microsoft 365 sur une page copiée à l'identique ne télécharge aucun fichier et ne lance aucun processus : il n'y a rien à analyser. Seuls le filtrage d'URL, l'authentification à deux facteurs et la vigilance humaine agissent à ce stade.

Deuxième angle mort : l'abus d'outils légitimes déjà signés par Microsoft. certutil.exe télécharge un fichier distant, mshta.exe exécute du HTML applicatif, rundll32.exe charge une DLL arbitraire. Ces binaires sont sur toutes les machines et le moteur ne peut pas les interdire sans casser le système, il ne peut que juger le contexte d'appel.

Enfin, un antivirus casse parfois lui-même la production. Le 21 avril 2010, la mise à jour DAT 5958 de McAfee a identifié svchost.exe comme le ver W32/Wecorl.a sur Windows XP SP3 et mis des milliers de postes en boucle de redémarrage. Le 19 juillet 2024, un fichier de canal du capteur CrowdStrike Falcon, un EDR et non un antivirus classique, a provoqué un écran bleu sur environ 8,5 millions de machines Windows selon l'estimation de Microsoft. Tout agent qui tourne en mode noyau hérite du même pouvoir de nuisance, ce qui plaide pour un déploiement des mises à jour par vagues quand l'éditeur le permet.

Effets de bord réseau et erreurs de configuration fréquentes

Beaucoup de suites grand public inspectent le HTTPS en installant leur propre autorité de certification racine dans le magasin du système. Techniquement, votre navigateur ne parle plus au site mais à l'antivirus, qui rouvre une seconde connexion. L'étude présentée à NDSS 2017 par Durumeric et ses coauteurs sur l'interception TLS a montré que ces produits négocient fréquemment des paramètres plus faibles que le navigateur qu'ils protègent. En pratique, cela casse aussi le certificate pinning, les clients d'API et les scripts de déploiement.

Les exclusions sont le second piège. Elles font gagner du temps de compilation quand elles ciblent un dossier de build ou node_modules, mais un attaquant qui a déjà un pied sur la machine lit la liste avec Get-MpPreference et y dépose sa charge : la technique est référencée T1562.001 dans MITRE ATT&CK. Excluez un chemin précis associé à un processus précis, jamais un disque entier ni %TEMP%.

Dernier point sur Windows : un produit tiers s'enregistre auprès du Windows Security Center, ce qui fait basculer Defender en mode passif automatiquement. Installer deux moteurs temps réel qui ne s'annoncent pas correctement produit des blocages mutuels, des fichiers verrouillés et des ralentissements que personne ne sait ensuite attribuer. Vérifiez l'état affiché dans Sécurité Windows après toute installation.

Questions fréquentes

Faut-il payer un antivirus sur Windows 11 ?

Pour un poste personnel à jour, Microsoft Defender couvre le besoin courant et figure régulièrement parmi les produits certifiés par AV-TEST, qui note protection, performance et convivialité sur 6 points chacun, soit 18 au maximum. Les suites payantes apportent surtout des fonctions périphériques : gestionnaire de mots de passe, VPN, contrôle parental, console de gestion centralisée. Payez pour ces fonctions si vous en avez l'usage, pas pour un taux de détection supposé supérieur.

Peut-on installer deux antivirus sur la même machine ?

Deux moteurs en protection temps réel se disputent l'accès aux mêmes fichiers et se signalent mutuellement comme suspects. Sur Windows, Defender passe en mode passif dès qu'un tiers s'enregistre auprès du Windows Security Center, donc la cohabitation officielle fonctionne. En revanche, combiner deux suites tierces provoque des verrouillages de fichiers et des faux positifs croisés. Un scanner à la demande, comme ClamAV ou Malwarebytes en mode manuel, peut en revanche s'ajouter sans conflit.

Un antivirus est-il utile sous Linux ou macOS ?

Sur macOS, XProtect, XProtect Remediator et Gatekeeper sont déjà intégrés et mis à jour par Apple sans intervention. Sur Linux serveur, ClamAV sert surtout à analyser ce qui transite : pièces jointes sur une passerelle mail, fichiers déposés par des utilisateurs Samba, uploads d'une application web. Le protégé n'est alors pas le serveur lui-même mais les postes Windows en aval.

Trois moteurs sur soixante-dix détectent mon fichier sur VirusTotal, dois-je m’inquiéter ?

VirusTotal agrège plus de 70 moteurs et les détections isolées par des scanners peu réputés sont souvent des heuristiques génériques déclenchées par un packer ou un compilateur inhabituel. Regardez plutôt le verdict des grands éditeurs et le nom de la détection : un libellé précis vaut mieux que dix « Generic.Suspicious ». Gardez aussi en tête que tout fichier envoyé y est partagé avec les éditeurs et les abonnés du service, ce qui exclut d'y déposer un document interne.

Comment savoir si mon antivirus a réellement supprimé une menace ?

La suppression n'est pas toujours l'action retenue : la quarantaine isole le fichier sans le détruire. Sur Windows, Get-MpThreatDetection liste les détections avec leur action appliquée, et MpCmdRun.exe -Restore permet de récupérer un élément mis en quarantaine à tort. Contrôlez ensuite les persistances laissées derrière : tâches planifiées, clés Run, services créés, que le nettoyage d'un simple exécutable ne retire pas toujours.

Testez vos connaissances

À lire aussi

anti malware · cheval de troie · adware · botnet