Qu'est-ce qu'un malware (logiciel malveillant) ?

Le malware est un software conçu intentionnellement pour endommager ou perturber un appareil ou un réseau, ou obtenir un accès non autorisé aux données qu’il contient. Ce terme regroupe notamment le ransomware, le spyware, les chevaux de Troie, les vers et les rootkits. Tous ont un point commun : leur code effectue une action que le propriétaire du système n’a jamais autorisée. Pour une équipe de sécurité, les questions sont concrètes : comment le malware entre-t-il, que fait-il une fois présent et comment un SOC peut-il le détecter avant qu’il n’atteigne les systèmes critiques ? Cette page présente les principales catégories de malware, les modes d’infection et les méthodes de détection et de réponse au sein d’une organisation.

Ce qu'il faut retenir

Malware is an umbrella term for software designed to harm, disrupt, or gain unauthorized access to systems and data.
Ransomware, spyware, trojans, worms, and rootkits are common categories, each with a different objective and method of spread.
Most infections start with a person, not a pure technical exploit. Common entry points include a phishing email, a fake update, or a malicious download.
Signature-based antivirus catches known threats but often misses fileless malware, polymorphic code, and living-off-the-land techniques.
Detection and response matter as much as prevention. EDR, XDR, and SIEM telemetry help a SOC catch malware that has already passed the perimeter.

Comment un malware arrive-t-il sur un appareil ou un réseau?

La plupart des infections par malware commencent par une action humaine, et non par le contournement d’un contrôle technique par un acteur de la menace. Un collaborateur ouvre une pièce jointe reçue par phishing, télécharge une copie piratée d’un software payant ou installe ce qui ressemble à une mise à jour ordinaire. Le code malveillant arrive avec un élément que l’utilisateur pense légitime.

Certaines infections ne nécessitent aucune interaction de l’utilisateur. Les vers se propagent en exploitant directement une vulnérabilité via une connexion réseau. Des sites compromis ou malveillants peuvent déclencher un téléchargement furtif dès le chargement d’une page, en utilisant un kit d’exploitation pour rechercher des faiblesses connues dans le navigateur et ses extensions. Les publicités malveillantes diffusées par des régies publicitaires légitimes, ou malvertising, fonctionnent de manière similaire.

Une autre voie passe par la chaîne d’approvisionnement logicielle. Les acteurs de la menace compromettent le processus de compilation ou le mécanisme de mise à jour d’un fournisseur. Le code malveillant arrive alors intégré à un software que l’organisation approuve et auquel elle fait déjà confiance. Les supports amovibles, en particulier les clés USB infectées, restent un vecteur d’infection dans les environnements isolés ou peu surveillés.

Quel que soit le point d’entrée, le schéma reste le même. Les acteurs de la menace recherchent le chemin le plus facile, qu’il s’agisse d’un système qui n’est pas à jour, d’un collaborateur peu sensibilisé ou d’une relation de confiance avec un fournisseur.

Types de malware

Les familles de malware se recoupent davantage en pratique que ne le laisse penser une taxonomie stricte. Une même intrusion peut commencer par un cheval de Troie, déployer un rootkit pour se dissimuler, puis installer un ransomware. Le tableau ci-dessous présente les catégories selon leur objectif principal et leur comportement habituel.

Types de malware
Type	Fonctionnement	Caractéristique distinctive
Virus	S’attache à un fichier ou programme légitime et se réplique lorsque ce fichier est ouvert ou partagé.	Nécessite une action humaine pour s’activer et se propage par les fichiers infectés.
Ver	Se réplique et se propage sur un réseau sans fichier hôte ni interaction de l’utilisateur.	Exploite directement une vulnérabilité et peut se propager à tout un réseau en quelques heures.
Cheval de Troie	Se fait passer pour un software légitime afin d’inciter l’utilisateur à l’installer.	Ne se réplique pas seul et sert souvent à distribuer une charge utile de seconde étape.
Ransomware	Chiffre les fichiers ou verrouille un appareil, puis demande un paiement pour rétablir l’accès.	Affiche une demande de rançon et fait souvent suite à une intrusion par cheval de Troie ou phishing.
Spyware	Surveille l’activité et exfiltre des données, comme les identifiants, les habitudes de navigation et les frappes clavier, sans consentement.	Fonctionne discrètement en arrière-plan et est souvent intégré à un autre software.
Adware	Affiche des publicités indésirables et peut suivre l’activité de navigation pour les cibler.	N’est pas toujours malveillant seul, mais il est souvent associé à des menaces plus graves.
Rootkit	Modifie le système d’exploitation pour dissimuler sa présence et celle d’autres malwares.	Accorde des privilèges élevés à un acteur de la menace et est conçu pour rester indétectable.
Keylogger	Enregistre les frappes clavier pour récupérer des mots de passe, des numéros de carte et d’autres informations sensibles.	Constitue une forme spécialisée de spyware, souvent déployée dans le cadre d’un outil plus large.
Malware de cryptojacking	Détourne la puissance de calcul d’un appareil pour miner de la cryptomonnaie au profit d’un acteur de la menace.	Provoque des ralentissements, une surchauffe et une consommation électrique accrue, sans demande de rançon.
Malware de botnet	Intègre les appareils infectés à un réseau de machines contrôlées à distance.	Sert à diffuser du spam à grande échelle, lancer des attaques DDoS ou réaliser du credential stuffing distribué.
Malware sans fichier	S’exécute en mémoire et détourne des outils système légitimes au lieu de déposer des fichiers sur le disque.	Contourne les antivirus traditionnels fondés sur les signatures et disparaît au redémarrage.
Scareware	Affiche de fausses alertes de sécurité pour pousser l’utilisateur à payer un software frauduleux.	Repose sur l’ingénierie sociale plutôt que sur une compromission technique réelle.

Signes d’une infection par malware

Aucun des signes ci-dessous ne confirme à lui seul une infection, mais l’apparition de plusieurs d’entre eux justifie une investigation.

Un appareil fonctionne nettement plus lentement que d’habitude ou ses ventilateurs tournent à plein régime sans raison apparente.
Des fenêtres publicitaires, des redirections de navigateur ou de nouvelles barres d’outils apparaissent sans installation par l’utilisateur.
Des processus ou des programmes de démarrage inconnus apparaissent dans la liste des tâches.
Le trafic réseau sortant augmente fortement, notamment vers des destinations que l’appareil n’a aucune raison de contacter.
Le software de sécurité est désactivé, plante régulièrement ou ne peut plus être ouvert.
Des fichiers sont chiffrés, renommés ou disparaissent sans action de l’utilisateur.
Des comptes présentent des connexions ou des actions que l’utilisateur ne reconnaît pas.

Pourquoi les outils périmétriques ne détectent pas tout le malware moderne

Les antivirus traditionnels comparent les fichiers à une base de signatures connues. Cette approche détecte encore de nombreuses menaces courantes, mais elle atteint ses limites face à des techniques fréquentes dans les intrusions actuelles. Le code polymorphe modifie sa structure à chaque infection. Les techniques sans fichier n’écrivent jamais de fichier sur le disque. Les binaires living off the land utilisent des outils déjà présents sur le système, comme PowerShell, WMI ou les tâches planifiées, au lieu de déposer un malware personnalisé.

Le développement du malware-as-a-service a élargi le nombre d’acteurs de la menace capables d’utiliser ces techniques. Des kits de malware, des panneaux de contrôle et même du support sont loués sur des marchés criminels. Un acteur de la menace n’a donc plus besoin d’écrire du code pour lancer une campagne opérationnelle, ce qui alimente un flux constant de variantes qu’une liste de signatures ne peut pas contenir.

La détection dépend donc de plus en plus de la corrélation des signaux issus des terminaux, du réseau, des identités et du cloud, plutôt que d’un seul contrôle isolé. Un agent EDR peut manquer une technique sans fichier, mais la même activité devient visible lorsqu’elle est corrélée à des schémas d’authentification inhabituels ou à des connexions sortantes dans un SIEM. C’est à ce niveau qu’intervient Sekoia SOC platform, en réunissant les données XDR, SIEM et CTI pour faire remonter et analyser les comportements qu’un outil de terminal isolé pourrait manquer.

Comment un SOC détecte et traite un malware

La détection fonctionne par couches. La solution de détection et réponse sur les terminaux, ou EDR, observe le comportement des processus sur chaque appareil. La détection réseau recherche une activité de commande et contrôle ainsi que des flux de données inhabituels. Un SIEM corrèle ces signaux avec les journaux d’identité et du cloud pour détecter une activité qu’aucune source ne qualifierait seule de suspecte. Le renseignement sur les menaces apporte du contexte grâce aux familles de malware connues, aux infrastructures associées et aux tactiques des groupes concernés. Les analystes peuvent ainsi qualifier les alertes plus rapidement et avec davantage de confiance.

La traque des menaces complète la détection automatisée. Les analystes recherchent de manière proactive des comportements qui ressemblent à des techniques connues d’acteurs de la menace, cartographiées dans des référentiels comme MITRE ATT&CK, même lorsqu’aucune alerte ne s’est déclenchée. Certaines intrusions échappent toujours aux règles automatisées pendant un certain temps.

Une fois le malware confirmé, la réponse suit une séquence définie. Les analystes isolent le système affecté pour empêcher les mouvements latéraux, limitent le périmètre de la compromission, éliminent le malware et les mécanismes de persistance qu’il a installés, restaurent les systèmes affectés depuis des sauvegardes saines, puis réalisent une revue post-incident pour corriger la faille qui a permis l’accès initial.

L’équipe TDR de Sekoia exécute ce cycle pour ses clients avec Sekoia SOC platform. Elle corrèle les données EDR, SIEM et CTI afin que la détection, l’investigation et la réponse s’appuient sur une même vue, plutôt que sur des outils isolés.

Comment réduire le risque d’infection par malware

Maintenir les systèmes d’exploitation, les navigateurs et les software tiers à jour selon un calendrier défini, et non au cas par cas.
Appliquer le principe du moindre privilège pour qu’un compte ou un terminal compromis n’atteigne pas des systèmes qui ne le concernent pas.
Filtrer les e-mails pour bloquer les pièces jointes et les liens malveillants, et former les collaborateurs à reconnaître les tentatives de phishing.
Déployer une solution de détection et réponse sur les terminaux au lieu de s’appuyer uniquement sur un antivirus fondé sur les signatures.
Conserver des sauvegardes hors ligne ou immuables, inaccessibles au ransomware et aux malwares de destruction de disque.
Segmenter les réseaux afin qu’un seul appareil infecté ne puisse pas atteindre tout l’environnement.
Organiser régulièrement des exercices de traque des menaces au lieu d’attendre les alertes automatisées.

Pourquoi la détection du malware compte davantage que sa prévention

Les contrôles de prévention réduisent le nombre d’intrusions réussies, mais aucun ne bloque toutes les infections. La gestion des correctifs, le filtrage des e-mails et la protection des terminaux peuvent tous échouer, et un seul point faible suffit aux acteurs de la menace. Les organisations qui limitent les dégâts partent du principe qu’un malware peut entrer et investissent autant dans sa détection rapide que dans sa prévention.

Cela implique de réunir la télémétrie des terminaux, du réseau, des identités et du cloud. Il faut aussi des analystes qui traquent activement les activités manquées par les règles automatisées, au lieu de dépendre d’un tableau de bord qui reste silencieux jusqu’à ce que l’incident se soit déjà propagé.

FAQ sur le malware

Quelle est la différence entre un virus et un malware ?

Le malware est le terme générique qui désigne un software malveillant. Un virus est un type particulier de malware. Il s’attache à un fichier légitime et se réplique lorsque ce fichier est exécuté. Tous les virus sont des malwares, mais tous les malwares ne sont pas des virus. Les vers, les chevaux de Troie et le ransomware se propagent et se comportent différemment des virus, même s’ils appartiennent à la même catégorie générale.

Un malware peut-il infecter un système entièrement à jour?

Oui. Les mises à jour corrigent les vulnérabilités logicielles connues, mais une grande partie des malwares actuels entre par ingénierie sociale plutôt que par une faille non corrigée. Les exemples courants sont l’e-mail de phishing convaincant, la fausse mise à jour logicielle et le téléchargement d’un software trojanisé. Même entièrement à jour, un système dépend de la personne qui l’utilise et des contrôles de détection déployés.

Qu’est-ce qu’un malware sans fichier et pourquoi est-il plus difficile à détecter?

Un malware sans fichier s’exécute dans la mémoire de l’appareil au lieu d’écrire un fichier sur le disque. Il utilise souvent des outils légitimes comme PowerShell ou Windows Management Instrumentation, déjà installés et considérés comme fiables. Comme aucun fichier n’est disponible pour l’analyse et que l’activité disparaît après un redémarrage, un antivirus traditionnel fondé sur les signatures dispose de peu d’éléments. La détection dépend de l’observation du comportement des processus plutôt que de la comparaison avec des signatures connues.

Le ransomware est-il un type de malware?

Oui. Le ransomware est l’une des catégories de malware les plus dommageables. Il chiffre les fichiers ou verrouille un appareil, puis demande un paiement pour rétablir l’accès. Il arrive souvent par l’intermédiaire d’un cheval de Troie, d’un e-mail de phishing ou d’un identifiant d’accès distant compromis, plutôt que de se propager seul. Les mêmes défenses que celles utilisées contre les autres types de malware, comme les mises à jour, le filtrage des e-mails et la détection sur les terminaux, réduisent aussi le risque lié au ransomware.

Combien de temps faut-il généralement pour détecter une infection par malware?

Cela dépend de l’organisation et du comportement du malware. Les techniques sans fichier et living off the land sont conçues pour retarder la détection, parfois pendant plusieurs semaines, en évitant les signaux fondés sur les fichiers auxquels les outils plus anciens se fient. Les organisations qui corrèlent la télémétrie des terminaux, du réseau et des identités dans un SIEM, et qui pratiquent une traque active des menaces au lieu d’attendre uniquement les alertes automatisées, réduisent généralement cette durée.

Un antivirus peut-il suffire à bloquer les attaques de malware modernes?

Les antivirus bloquent encore de nombreuses menaces courantes, mais ils ne sont pas conçus pour détecter les techniques sans fichier, le code polymorphe qui modifie sa structure ou les activités living off the land qui ne déposent jamais de fichier identifiable. Les organisations exposées à des menaces ciblées ou persistantes ont généralement besoin d’une solution de détection et réponse sur les terminaux, corrélée à la télémétrie réseau et aux données d’identité dans un SIEM, plutôt que d’un antivirus isolé.