Spyware : reconnaître, détecter et supprimer un logiciel espion

Un spyware est un programme qui collecte des informations sur un appareil et les transmet à un tiers sans consentement éclairé : identifiants, cookies de session, frappes clavier, position, contenu d'écran. Il se distingue d'un virus par son objectif, la collecte silencieuse plutôt que la destruction, et il se repère surtout par son trafic sortant régulier vers un serveur de commande.

Ce qu’un spyware collecte, concrètement

Un spyware ne cherche pas à casser votre machine, il cherche à la lire. Sur un poste de travail, la récolte est très standardisée : bases de mots de passe des navigateurs, cookies de session, historique, presse-papiers, portefeuilles de cryptomonnaies, captures d'écran, documents récents. Les familles d'infostealer louées en abonnement (RedLine, Vidar, Lumma, Raccoon) fonctionnent toutes sur le même modèle : une exécution unique, quelques secondes de collecte, une archive envoyée au serveur, parfois l'effacement du binaire derrière lui. RedLine et META ont d'ailleurs été visés par l'opération Magnus menée par la police néerlandaise en octobre 2024, sans que le modèle disparaisse pour autant.

Le cookie de session vaut souvent plus que le mot de passe.

Voler le fichier Login Data de Chrome oblige l'attaquant à le déchiffrer via DPAPI, donc à s'exécuter sous votre compte Windows. Voler le cookie, lui, suffit à rejouer une connexion déjà authentifiée : le second facteur a été validé lors de l'ouverture de session, il n'est pas redemandé. C'est la technique dite du pass-the-cookie, et c'est pour cette raison qu'une 2FA ne protège pas un poste déjà infecté. Google a réagi avec le chiffrement lié à l'application (App-Bound Encryption) introduit dans Chrome 127 sur Windows en juillet 2024 ; les stealers ont adapté leurs méthodes en quelques semaines.

• Keylogger : enregistre les frappes, parfois uniquement quand la fenêtre active correspond à une banque ou un webmail
• Infostealer : une collecte massive en une passe, puis revente du « log » sur des places de marché spécialisées
• Stalkerware : installé physiquement par un proche ayant accès au téléphone, remonte position, SMS, appels, parfois micro
• Spyware mercenaire : chaîne d'exploits zero-click vendue à des États, ciblage individuel, budget sans commune mesure
• Adware traqueur : profilage publicitaire, zone grise entre logiciel toléré et espion
• RAT (cheval de Troie d'accès distant) : accès interactif complet, l'espionnage n'est qu'une de ses fonctions

Spyware, adware, cheval de Troie, rootkit : où passe la frontière

Ces mots ne décrivent pas la même chose et se cumulent souvent sur un seul fichier. « Cheval de Troie » décrit la manière d'entrer (se faire passer pour un installeur légitime), « spyware » décrit ce que fait la charge une fois à l'intérieur, « rootkit » décrit la technique de dissimulation. Un faux installeur de logiciel craqué qui dépose un stealer est les trois à la fois selon l'angle où vous le regardez.

La frontière avec l'adware est juridique autant que technique. Un module publicitaire qui remonte votre historique de navigation fait techniquement le même travail qu'un spyware ; ce qui change, c'est l'existence d'un consentement recueilli, et sa qualité. Un consentement enterré dans 40 pages de CGU ne vaut pas grand-chose au regard du RGPD.

Catégorie	Objectif	Se montre à l'utilisateur ?	Exemple typique
Spyware	Collecter et exfiltrer des données	Non, la discrétion est le but	Infostealer type Vidar
Adware	Monétiser par la publicité	Oui, les publicités se voient	Extension navigateur injectant des pubs
Cheval de Troie	Se faire installer sous une fausse identité	Non	Faux installeur d'un logiciel payant
Rootkit	Se dissimuler et survivre au nettoyage	Non, il masque aussi le reste	Pilote vulnérable signé, détourné
Keylogger	Enregistrer les frappes clavier	Non	Module d'un spyware, ou dongle USB physique
Ransomware	Chiffrer puis monnayer le déchiffrement	Oui, il s'annonce lui-même	Note de rançon sur le bureau

Le trafic réseau, meilleur indice d’un logiciel espion

Un spyware doit sortir. C'est sa faiblesse exploitable.

Presque tous passent par HTTPS sur le port 443, parce que ce port est ouvert en sortie sur à peu près tous les réseaux et que la charge utile y est chiffrée. L'inspection du contenu ne sert donc à rien sans déchiffrement TLS, mais les métadonnées suffisent souvent : qui parle à qui, à quelle fréquence, dans quel sens, avec quel volume.

Cas classique en PME : un poste de comptabilité envoie 30 à 60 Mo par jour vers une adresse hébergée chez un fournisseur cloud, entre 2 h et 4 h du matin, session verrouillée et bureau vide. Sur un collecteur NetFlow ou IPFIX (RFC 7011), le motif est net : même IP de destination, même port, volume montant régulier, trafic descendant quasi nul. Le pare-feu n'avait rien bloqué parce que le 443 sortant était autorisé pour tout le monde, sans restriction de destination.

Bloquer l'IP du serveur de commande ne règle rien durablement : elle change en quelques heures. Le filtrage de sortie par défaut-refus, un résolveur DNS interne obligatoire et le blocage du DoH non autorisé donnent bien plus de résultats sur la durée.

• Beaconing : connexions à intervalle presque constant, par exemple toutes les 60 secondes avec 10 % de gigue, y compris quand personne n'utilise la machine
• Ratio inversé : un poste bureautique qui téléverse davantage qu'il ne télécharge
• Sous-domaines longs encodés en base32 ou base64, signature d'un tunnel DNS (RFC 1035 limite chaque label à 63 octets et le nom complet à 255)
• Requêtes directes vers le port 53 depuis un poste censé interroger uniquement le résolveur interne
• Bascule silencieuse vers DoH (RFC 8484, port 443) ou DoT (RFC 7858, port 853) pour contourner le filtrage DNS
• Empreinte TLS (JA3) ne correspondant à aucun navigateur ni client installé sur la machine
• Résolutions vers des noms de domaine enregistrés depuis moins de quelques jours

Détecter un spyware : les commandes par système

Deux questions suffisent pour l'essentiel du diagnostic : quel processus parle à l'extérieur, et comment survit-il au redémarrage. Un spyware doit répondre aux deux, donc laisser deux traces.

Sur Windows, `netstat -ano` liste les connexions avec le PID ; `tasklist /FI "PID eq 4212"` donne le nom du processus derrière. Un exécutable qui tourne depuis %APPDATA%, %TEMP% ou un dossier au nom aléatoire et qui maintient une connexion sortante mérite une analyse immédiate. Pour la persistance, Autoruns de Sysinternals montre en une fenêtre les clés Run, les tâches planifiées, les services et les abonnements WMI, là où l'onglet Démarrage du gestionnaire des tâches n'en montre qu'une fraction.

Sur mobile, la détection fiable ne se fait pas depuis l'appareil lui-même. Pour iOS, le Mobile Verification Toolkit publié en open source par le Security Lab d'Amnesty International analyse une sauvegarde chiffrée hors ligne : `mvt-ios check-backup --output ./resultats --iocs pegasus.stix2 ./sauvegarde`. C'est ce type d'analyse qui a permis d'objectiver les infections Pegasus documentées à partir de juillet 2021 par le consortium Forbidden Stories et Amnesty.

Un rappel utile sur ce que peut faire un spyware de haut de gamme : la faille FORCEDENTRY (CVE-2021-30860), un dépassement dans le décodeur JBIG2 de CoreGraphics, permettait une compromission sans aucune interaction, par simple réception d'un message. Apple l'a corrigée dans iOS 14.8 le 13 septembre 2021, puis a ajouté le Mode Isolement dans iOS 16 pour réduire la surface d'attaque des profils exposés. « Je n'ai cliqué sur rien » n'est donc pas une preuve d'innocuité.

Système	Voir les connexions sortantes	Voir la persistance
Windows	netstat -ano puis tasklist /FI "PID eq "	Autoruns, schtasks /query /fo LIST /v, clé HKCU\Software\Microsoft\Windows\CurrentVersion\Run
Linux	ss -tnp	crontab -l, systemctl list-timers, ~/.config/autostart
macOS	lsof -i -P -n | grep ESTABLISHED	launchctl list, ~/Library/LaunchAgents, /Library/LaunchDaemons
Android	Paramètres > Réseau > Consommation de données par application	adb shell pm list packages -3, Accessibilité, Applications d'administration
iOS	Réglages > Données cellulaires, consommation par app	Réglages > Général > VPN et gestion de l'appareil, puis analyse MVT sur sauvegarde

Nettoyer un poste infecté, et le cas particulier du stalkerware

L'ordre des opérations compte plus que l'outil choisi. Couper le réseau d'abord, changer les mots de passe ensuite mais depuis un autre appareil sain, jamais depuis la machine suspecte : un keylogger encore actif capterait les nouveaux identifiants au moment même où vous les saisissez.

Le point le plus souvent oublié vient après : révoquer les sessions ouvertes. Un mot de passe changé n'invalide pas automatiquement tous les cookies déjà volés. Sur Google comme sur Microsoft 365, il faut déclencher explicitement la déconnexion de tous les appareils, puis passer en revue les jetons OAuth accordés à des applications tierces et les clés API. Vérifiez aussi les règles de transfert automatique de la messagerie : c'est la porte dérobée la plus discrète et la plus fréquente après une compromission de compte.

Quand un infostealer est confirmé, la réinstallation du système reste la seule remise à zéro qui tienne. Une désinfection antivirus retire ce qui a été détecté, pas ce qui ne l'a pas été.

Le stalkerware demande une approche différente, parce qu'il implique une personne de votre entourage. Supprimer l'application immédiatement signale à l'auteur qu'il a été repéré et peut aggraver la situation. La Coalition Against Stalkerware, lancée en 2019 et regroupant éditeurs de sécurité et associations d'aide aux victimes, recommande de documenter avant d'agir et de se rapprocher d'une structure d'accompagnement. En droit français, l'article 226-1 du code pénal, complété par la loi du 30 juillet 2020, punit d'un an d'emprisonnement et 45 000 euros d'amende le fait de localiser une personne sans son consentement, avec des peines aggravées lorsque l'auteur est le conjoint ou le partenaire.

• Isoler la machine du réseau, sans l'éteindre si une analyse est envisagée
• Changer les mots de passe depuis un appareil sain, en commençant par la boîte mail de récupération
• Révoquer toutes les sessions actives et les jetons OAuth, les cookies volés restent sinon valides
• Contrôler les règles de transfert et les filtres de la messagerie
• Réinstaller le système en cas d'infostealer avéré, puis restaurer les données depuis une sauvegarde antérieure à l'infection
• Sur mobile, vérifier les services d'accessibilité activés et les profils de configuration installés

Questions fréquentes

Un antivirus suffit-il à détecter un spyware ?

Il attrape les familles connues et déjà signées, ce qui représente une bonne partie du volume. Il passe régulièrement à côté des variantes récentes, empaquetées ou exécutées en mémoire, et il ne voit pas grand-chose des spywares mercenaires qui exploitent des failles inédites. Le complément qui manque est presque toujours le même : la surveillance du trafic sortant, qui détecte le comportement là où la signature échoue.

Comment savoir si mon téléphone est espionné ?

Les signes usuels (batterie qui chute, chauffe, données mobiles inhabituelles) sont réels mais peu fiables pris isolément. Regardez plutôt la consommation de données par application, les services d'accessibilité activés, les applications d'administration de l'appareil sur Android, et les profils de configuration dans Réglages > Général > VPN et gestion de l'appareil sur iOS. Pour un doute sérieux, une analyse hors ligne d'une sauvegarde chiffrée avec MVT donne un résultat autrement plus solide qu'une application « anti-spy » téléchargée sur le store.

La navigation privée protège-t-elle d’un spyware ?

Non, et cette confusion est fréquente. Le mode privé empêche l'enregistrement local de l'historique et des cookies à la fermeture de la fenêtre. Un spyware, lui, s'exécute sur la machine, au même niveau que le navigateur ou au-dessus : il lit l'écran, le clavier et la mémoire du processus, quel que soit le mode de navigation.

Changer d’adresse IP ou passer par un VPN élimine-t-il un spyware ?

Non. Le spyware est installé sur l'appareil, l'adresse IP ne fait que décrire la façon dont cet appareil sort sur Internet. Un VPN rend même le diagnostic plus difficile en entreprise, puisqu'il masque la destination réelle du trafic aux outils de supervision réseau. Il chiffre le transport, il ne nettoie rien.

Un spyware peut-il s’installer sans que je clique sur quoi que ce soit ?

Oui, mais ce n'est pas le cas courant. Les attaques zero-click existent et sont documentées : FORCEDENTRY (CVE-2021-30860) permettait une compromission d'iPhone par simple réception d'un message avant le correctif d'iOS 14.8. Ces chaînes d'exploits coûtent cher et servent au ciblage individuel. Pour la grande majorité des infections, le vecteur reste un exécutable téléchargé volontairement : logiciel craqué, faux installeur, pièce jointe, extension de navigateur.

Testez vos connaissances

À lire aussi

cheval de troie · adware · anti malware · botnet