Malware, Malbyte, Malwarebytes : qui fait quoi

« Malbyte » n’est pas un logiciel

Deux intentions derrière cette recherche. Soit vous cherchez Malwarebytes, l'outil de désinfection que les forums de dépannage recommandent depuis une quinzaine d'années. Soit vous cherchez la définition de malware. Le nom « Malbyte » n'apparaît au catalogue d'aucun éditeur, et une page qui propose de télécharger « Malbyte » est le plus souvent un faux installeur qui exploite la faute de frappe pour pousser un adware.

Malware est la contraction de malicious software. Le terme couvre tout code dont la fonction voulue par son auteur nuit au propriétaire de la machine : chiffrement des fichiers contre rançon, vol d'identifiants, minage de cryptomonnaie, relais de spam. Le RFC 4949, glossaire de sécurité de l'IETF publié en août 2007, n'emploie pas le mot malware : il définit « malicious logic », puis traite séparément virus, ver et cheval de Troie. La distinction sert encore. Un virus a besoin d'un fichier hôte, un ver se propage seul sur le réseau. Le premier ver massif, celui de Robert Morris en novembre 1988, a eu droit à son propre retour d'expérience publié en RFC, le RFC 1135.

Malwarebytes Anti-Malware, lui, est né en 2006 comme scanner de secours : on le lançait sur un poste déjà infecté, quand l'antivirus en place ne voyait plus rien. Le produit a gardé cette vocation de second avis, et sa version gratuite n'a jamais changé de modèle : elle nettoie à la demande, elle ne surveille pas.

Les familles de malwares et leurs signes observables

Le nom de famille n'est pas une étiquette de taxonomiste, il dicte la réaction. Un cryptomineur vous coûte de l'électricité, un infostealer vous coûte des comptes, et les deux se traitent différemment.

Les LPI (programmes potentiellement indésirables) représentent le gros du volume détecté par Malwarebytes, loin devant les ransomwares : barres d'outils, faux optimiseurs, installeurs à cases précochées. Un antivirus classique les laisse souvent passer, parce qu'ils sont signés et techniquement légaux. C'est précisément la zone où un second moteur apporte quelque chose.

Famille	Objectif	Signe observable
Ransomware	Chiffrer puis monnayer	Extensions modifiées en masse, note de rançon déposée dans chaque dossier
Cheval de Troie	Ouvrir un accès sous un déguisement	Processus inconnu qui écoute un port local ou maintient une session sortante
Ver	Se propager sans action humaine	Trafic SMB (445) ou RDP (3389) sortant vers des plages d'adresses entières
Infostealer	Voler mots de passe, cookies, portefeuilles	Lecture des bases de profils navigateur, puis un seul POST volumineux
Rootkit	Se soustraire au système	Écart entre ce que liste l'explorateur et ce que voit un scan hors ligne
Cryptomineur	Consommer votre CPU ou GPU	Charge proche de 100 % machine au repos, connexion vers un pool de minage
Adware et LPI	Injecter de la publicité, détourner la recherche	Extension navigateur non installée par vous, page d'accueil forcée

Malwarebytes : ce que la version gratuite fait, et ce qu’elle ne fait pas

Sur Windows, la quarantaine n'est pas un dossier que vous pouvez fouiller : les fichiers sont neutralisés puis stockés dans C:\ProgramData\Malwarebytes\MBAMService\Quarantine, et les journaux du service vivent dans le sous-dossier logs du même arbre. Cas de panne courant : une détection emporte un composant d'application métier signé par un petit éditeur. Le rapport vous donne le chemin exact et l'horodatage, et la restauration se fait depuis l'onglet Détections, pas en recopiant le fichier à la main.

Tant que la protection en temps réel reste inactive, donc en version gratuite, Malwarebytes ne s'enregistre pas comme antivirus auprès du Centre de sécurité Windows et Microsoft Defender continue de tourner. Les deux cohabitent sans arbitrage. En Premium, l'enregistrement a lieu et Defender passe en veille : c'est à ce moment-là que le choix se pose, pas à l'installation.

Pour une désinstallation propre après un conflit de pilotes, l'éditeur fournit le Malwarebytes Support Tool, menu Advanced puis bouton Clean. Il purge pilotes et clés résiduelles là où le désinstalleur classique laisse des traces qui bloquent la réinstallation.

• Gratuit : analyse à la demande, quarantaine, retrait des adwares et des LPI. Ni protection permanente, ni analyse planifiée.
• Premium : quatre couches en temps réel (web, exploits, malwares, ransomwares), analyses programmées, extension Browser Guard.
• À l'installation, Premium tourne en essai 14 jours, puis le produit retombe en gratuit sans rien désinstaller.
• Ce n'est ni un pare-feu ni un filtre DNS : il n'arbitre pas vos flux sortants comme le ferait une règle réseau.

Repérer une infection depuis le réseau

Le système d'exploitation peut mentir, le trafic beaucoup moins. Un malware actif finit presque toujours par parler à l'extérieur : récupérer sa configuration, expédier ce qu'il a volé, attendre des ordres. Quand vous ne faites plus confiance à ce que le poste affiche, c'est le meilleur point d'observation.

Le signe qui ne trompe pas, c'est la régularité. Un navigateur produit un trafic irrégulier, par rafales. Une balise de commande et contrôle rappelle son serveur toutes les 60 secondes, ou toutes les 5 minutes, avec quelques pourcents de gigue. Un DGA (algorithme de génération de domaines) se lit à l'œil nu dans les logs du résolveur : des dizaines de sous-domaines aléatoires qui renvoient NXDOMAIN, jusqu'à ce que l'un réponde.

Côté blocage, un résolveur filtrant coupe une partie de la chaîne sans rien installer sur les postes. Quad9, sur 9.9.9.9, refuse de résoudre les domaines figurant dans ses listes de renseignement sur les menaces ; Cloudflare fait de même sur 1.1.1.2. Cela n'assainit pas une machine déjà compromise, mais cela empêche souvent la charge utile de se télécharger, et cela vous laisse un journal exploitable.

• Windows : `netstat -ano` puis rapprochement du PID dans le Gestionnaire des tâches ; `netstat -bano` en administrateur donne directement le nom de l'exécutable.
• Linux et macOS : `ss -tunap` ou `lsof -i -P -n` pour savoir quel processus tient quelle socket.
• Capture ciblée : `tcpdump -n -i any port 53` pour lire les résolutions DNS en clair et repérer les domaines générés automatiquement.
• Sur le poste : tâches planifiées, clés Run et services créés récemment, à comparer à une machine de référence.

Tester la détection, puis nettoyer dans le bon ordre

Avant de faire confiance à un antimalware, vérifiez qu'il réagit. Le fichier de test EICAR est une chaîne ASCII de 68 octets, inoffensive, que tous les moteurs sérieux détectent par convention : X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*. Collez-la dans un fichier eicar.com et enregistrez : l'alerte doit tomber dans la seconde. Si rien ne bouge, soit la protection en temps réel est désactivée, soit une exclusion traîne sur le dossier.

Pour les seuls adwares et LPI, AdwCleaner (gratuit, même éditeur) travaille en ligne de commande : `adwcleaner.exe /eula /clean /noreboot`, ce qui évite de cliquer sur cent postes un par un. En revanche, si des identifiants bancaires ou professionnels ont pu fuir, aucun outil de nettoyage ne règle le problème : la réinstallation complète reste le seul état de départ dont vous connaissez le contenu, et la rotation des mots de passe n'est pas négociable.

• Isoler : couper le câble ou le Wi-Fi avant tout le reste, surtout si un chiffrement semble en cours.
• Sauvegarder les données encore lisibles sur un support externe, sans jamais exécuter ce qui s'y trouve.
• Scanner depuis l'extérieur quand c'est possible : support amorçable, ou disque monté sur une autre machine, pour contourner un rootkit.
• Nettoyer, redémarrer, puis relancer un scan complet à froid ; une détection isolée suivie d'un scan propre ne permet pas de conclure.
• Changer les mots de passe depuis un autre appareil, pas depuis celui qui vient d'être désinfecté.

Questions fréquentes

Malwarebytes gratuit suffit-il comme seule protection ?

Non, pas seul. La version gratuite n'analyse qu'à la demande : entre deux scans, rien n'empêche une exécution. La combinaison cohérente sur Windows, c'est Microsoft Defender pour le temps réel et Malwarebytes gratuit comme second avis quand un comportement devient suspect.

Faut-il désinstaller son antivirus avant d’installer Malwarebytes ?

Pas pour la version gratuite : elle ne s'enregistre pas comme antivirus dans Windows et cohabite sans conflit. Avec Premium et sa surveillance permanente, empiler deux moteurs temps réel provoque des faux positifs croisés et ralentit les copies de fichiers volumineux. Là, il faut trancher.

Malwarebytes détecte-t-il les ransomwares ?

Premium embarque une couche dédiée qui surveille le comportement de chiffrement massif plutôt que des signatures, et sait annuler des modifications récentes. La version gratuite arrive après la bataille : elle retire le binaire, elle ne déchiffre rien. Sans la clé, aucun antimalware ne récupère des fichiers déjà chiffrés.

Un scan qui ne trouve rien signifie-t-il que le poste est sain ?

Non. Il signifie qu'aucune signature ni heuristique du moteur n'a réagi. Les rootkits et les infostealers récents sont conçus pour ce résultat. Croisez avec le réseau : connexions sortantes persistantes, résolutions DNS inhabituelles, tâches planifiées et clés de démarrage que vous n'avez pas créées.

Comment vérifier qu’une adresse IP contactée par mon poste est malveillante ?

Relevez l'adresse avec netstat ou ss, puis remontez le propriétaire et l'ASN. Une session établie vers un hébergeur à bas coût dans un pays sans lien avec vos outils, sur le port 443 mais sans nom de domaine cohérent, justifie une capture. Un WHOIS sur l'IP et une vérification dans des bases de réputation publiques complètent le tableau.

Testez vos connaissances

À lire aussi

anti malware · antivirus · cheval de troie · adware