Malware : définition, types de logiciels malveillants et détection

Un malware, ou logiciel malveillant, est un programme conçu pour s’exécuter sur un système sans le consentement de son propriétaire, afin d’en détourner les données, les ressources ou le fonctionnement. Le terme est un générique : il recouvre des familles aux finalités très différentes, du rançongiciel qui monétise l’extorsion au dérobeur d’identifiants qui alimente le marché des accès. Pour une équipe IT, la question utile n’est pas de savoir si un programme est un malware, mais quelle est l’intention derrière son déploiement. Cette page propose une classification opérationnelle des menaces et regroupe l’ensemble des analyses ITPro sur le sujet, dans le prolongement de notre couverture de la cybersécurité en entreprise.

Qu’est-ce qu’un malware ?

Définition. Un malware est un programme dont l’exécution poursuit un objectif hostile pour le propriétaire du système hôte : vol de données, blocage de service, prise de contrôle, détournement de ressources. La traduction française retenue par la terminologie officielle est logiciel malveillant.

Malware, virus, logiciel malveillant : les termes à distinguer

L’usage courant confond les trois. La distinction porte sur le niveau de généralité et sur le critère de classement.

Un virus est donc un malware, mais tous les malwares ne sont pas des virus. La plupart des menaces observées aujourd’hui en environnement d’entreprise ne se répliquent pas : elles sont déployées manuellement par un opérateur.

Ce que le terme recouvre réellement

Classer un échantillon par sa technique de propagation présente peu d’intérêt opérationnel. Ce qui oriente la réponse, c’est l’objectif poursuivi : exfiltrer, chiffrer, persister, détourner de la puissance de calcul ou détruire. C’est cette grille que retient le référentiel MITRE ATT&CK, qui décrit les comportements observés plutôt que les signatures.

Les grandes familles de logiciels malveillants

Une classification utile croise trois axes : l’objectif de l’attaquant, le vecteur de propagation et le niveau de persistance recherché. Le tableau ci-dessous en donne la lecture par objectif.

Ransomware

Famille caractérisée par le chiffrement des données et la demande de rançon, souvent doublée d’une exfiltration préalable. C’est aujourd’hui la finalité la plus documentée sur les incidents traités en France. Le sujet est développé sur notre page dédiée aux attaques par rançongiciel.

Infostealer

Les dérobeurs d’identifiants constituent le carburant de la chaîne d’attaque. Ils collectent mots de passe enregistrés, cookies de session et jetons d’authentification, puis les revendent sous forme de journaux sur des marchés spécialisés. Ces journaux alimentent ensuite les courtiers d’accès initiaux qui revendent l’entrée à des opérateurs de ransomware. Le démantèlement de RedLine lors de l’opération Magnus en octobre 2024 a illustré l’ampleur du phénomène sans en tarir la source.

Cheval de Troie, RAT et botnet

Ces trois catégories se recouvrent souvent. Emotet et Qakbot ont fonctionné comme chargeurs : leur rôle n’était pas de nuire directement mais d’ouvrir la voie à d’autres charges. Leurs démantèlements successifs, en janvier 2021 puis en août 2023, ont chaque fois été suivis de reconstitutions ou de remplacements par des acteurs concurrents.

Wiper

Le wiper détruit sans intention de restitution. La demande de rançon, quand elle existe, sert de leurre. NotPetya en 2017 en reste le cas d’école : présenté comme un rançongiciel, il ne disposait d’aucun mécanisme de déchiffrement fonctionnel.

Comment un malware entre dans un système d’information

• Phishing et pièces jointes. Le courriel reste le vecteur d’entrée le plus fréquent, avec des charges de plus en plus souvent déportées vers des liens et des archives protégées par mot de passe pour contourner l’analyse en passerelle.
• Exploitation de vulnérabilités exposées. Concentrateurs VPN, pare-feu, passerelles de messagerie et serveurs de transfert de fichiers concentrent les intrusions. Le délai entre publication d’un correctif et exploitation de masse se compte désormais en jours.
• Supply chain logicielle. Compromission d’un éditeur, d’un prestataire d’infogérance ou d’une dépendance open source. Un seul point d’entrée dessert alors des centaines d’organisations.
• Identifiants valides. Ni exploit, ni charge malveillante à l’entrée : l’attaquant se connecte. C’est le débouché direct du marché des infostealers.
• Périphériques amovibles et environnements industriels. Vecteur résiduel dans le SI classique, mais toujours actif sur les réseaux OT isolés.
• Malvertising et téléchargements détournés. Faux installeurs de logiciels courants, positionnés par référencement publicitaire sur les moteurs de recherche.

Détecter un malware en environnement d’entreprise

La détection par signature ne suffit plus : l’obfuscation et le polymorphisme la rendent inopérante sur les échantillons récents. La détection repose désormais sur le comportement et la corrélation.

Les signaux à surveiller

Côté poste : création de tâches planifiées ou de clés de registre de persistance, injection dans des processus légitimes, exécution de binaires système dans un contexte inhabituel. Côté réseau : résolutions DNS vers des domaines nouvellement enregistrés, connexions sortantes régulières à intervalle fixe, volumétrie sortante anormale vers un service de stockage externe.

EDR, XDR et télémétrie

L’EDR fournit la visibilité sur le poste, l’XDR corrèle cette télémétrie avec les journaux réseau, cloud et messagerie. La valeur ne vient pas de l’outil mais de la couverture réelle du parc et de la capacité à traiter les alertes en dehors des heures ouvrées. Notre section EDR et XDR détaille les critères d’architecture.

Sandboxing et indicateurs de compromission

L’analyse en environnement isolé reste utile pour qualifier un échantillon inconnu, à condition d’anticiper les techniques d’évasion. Les indicateurs de compromission publiés par le CERT-FR et les éditeurs de threat intelligence permettent une recherche rétroactive dans les journaux, souvent plus révélatrice que la détection en temps réel.

Ce qui a changé récemment

• Génération assistée par IA. Les modèles de langage abaissent le coût de production de variantes et de leurres de phishing crédibles, sans transformer pour autant la nature des techniques employées.
• Primauté de l’identité. L’attaque par identifiants valides supplante l’attaque par charge malveillante. Le contrôle d’accès devient le premier périmètre de détection.
• Cloud et conteneurs. Les charges visant les environnements conteneurisés et les API de plans de contrôle cloud progressent, avec une couverture EDR souvent partielle sur ces périmètres.
• Neutralisation des défenses. L’exploitation de pilotes vulnérables signés pour désactiver les agents de sécurité s’est banalisée dans les intrusions ciblées.

Explorer le cluster Cybersécurité

Cette page fait partie de notre couverture de la cybersécurité en entreprise : menaces, architectures de défense, conformité et gestion de crise.

iTPro+ : recevez chaque semaine l’analyse des menaces et les décisions d’architecture qui comptent pour les équipes IT.