Logiciels malveillants : virus, vers, chevaux de Troie et rançongiciels

Un logiciel malveillant est tout logiciel conçu intentionnellement pour causer des dommages, obtenir un accès non autorisé ou perturber des systèmes. C’est l’outil principal des cybercriminels et des acteurs étatiques.

Un virus est un logiciel malveillant qui s’attache à des programmes ou des fichiers légitimes. Il nécessite une intervention humaine pour se propager (par exemple, l’ouverture d’un fichier infecté). Lorsqu’il est exécuté, il se réplique et peut endommager des fichiers, voler des données ou ouvrir des portes dérobées.

Un ver est un logiciel malveillant qui se réplique de lui-même et se propage sur les réseaux sans intervention humaine. Il exploite les vulnérabilités des services réseau. Exemples célèbres : WannaCry (SMB), Conficker et le ver Morris.

Un cheval de Troie se fait passer pour un logiciel légitime. Contrairement aux virus, il ne se réplique pas de lui-même : il compte sur l’utilisateur pour l’installer. Une fois installé, il peut créer des portes dérobées, voler des données ou télécharger d’autres logiciels malveillants (chargeurs).

Un rançongiciel chiffre les fichiers de la victime et exige un paiement en échange de la clé de déchiffrement. Les opérateurs modernes de rançongiciels exfiltrent également les données avant de les chiffrer (double extorsion) et menacent de les publier si la rançon n’est pas payée.

Exemples : LockBit, REvil, Conti et WannaCry.

Un logiciel espion surveille secrètement l’activité de l’utilisateur — frappes au clavier, captures d’écran et historique de navigation — et la transmet à l’attaquant. Un logiciel publicitaire affiche des publicités indésirables, souvent fourni avec des logiciels gratuits. Les deux peuvent être associés à d’autres types de logiciels malveillants.

Un kit furtif dissimule sa présence et celle d’autres logiciels malveillants en modifiant le noyau du système d’exploitation ou le chargeur d’amorçage. Les kits furtifs sont extrêmement difficiles à détecter, car ils contournent précisément les outils utilisés pour les rechercher. Leur détection nécessite souvent une analyse hors ligne.

Un réseau de machines zombies est un réseau de machines infectées contrôlées à distance par un attaquant (maître du réseau de zombies). Ces machines servent à lancer des attaques par déni de service distribué, des campagnes de pourriels, du bourrage d’identifiants et du minage de cryptomonnaies. Les victimes ignorent souvent que leur appareil est compromis.

Un logiciel malveillant sans fichier réside entièrement en mémoire (RAM) sans écrire de fichiers sur le disque, ce qui lui permet d’échapper aux antivirus traditionnels fondés sur les fichiers. Il utilise souvent des outils système légitimes comme PowerShell ou WMI. Sa détection nécessite une analyse de la mémoire et une surveillance comportementale.

Vecteurs d’infection courants :

• Pièces jointes de courriels d’hameçonnage
• Téléchargements malveillants depuis le Web
• Téléchargement automatique déclenché par la visite de sites compromis
• Supports USB déposés sur des parkings
• Exploitation des vulnérabilités de logiciels non corrigés

Couches de défense :

• EDR — détection et réponse fondées sur le comportement
• Filtrage des courriels — met les pièces jointes en bac à sable avant leur distribution
• Gestion des correctifs — élimine les possibilités d’exploitation
• Moindre privilège — limite l’étendue des dommages causés par un logiciel malveillant
• Sauvegardes — copies hors ligne pour récupérer les données après une attaque par rançongiciel

Quel type de logiciel malveillant se propage automatiquement sur les réseaux sans nécessiter la moindre interaction de l’utilisateur ?

Les catégories de logiciels malveillants comprennent les virus (qui nécessitent une action de l’utilisateur), les vers (qui se propagent d’eux-mêmes), les chevaux de Troie (des logiciels déguisés), les rançongiciels (qui chiffrent les fichiers contre rançon), les kits furtifs (qui se cachent dans le système d’exploitation) et les logiciels malveillants sans fichier (résidant en mémoire). La défense nécessite des mesures en profondeur : EDR, filtrage des courriels, application des correctifs, moindre privilège et sauvegardes.