Logiciel malveillant.

Le terme « malware » (logiciel malveillant) désigne tout code dont le comportement est nuisible pour le système qui l'exécute ou pour ses utilisateurs. Il englobe les virus, vers, chevaux de Troie, rançongiciels, logiciels espions, rootkits, loaders et wipers, souvent enchaînés dans les campagnes modernes : un leurre envoyé par courriel dépose un loader, qui télécharge un cheval de Troie bancaire, qui déploie un rançongiciel. Les vecteurs de diffusion incluent l'hameçonnage, les téléchargements furtifs (drive-by), la publicité malveillante (malvertising), la compromission de la chaîne d'approvisionnement, les supports amovibles et l'exploitation de vulnérabilités non corrigées.

Quelques incidents marquants illustrent toute l'étendue du phénomène. Stuxnet (2010) a exploité quatre failles zero-day de Windows pour saboter les centrifugeuses d'enrichissement d'uranium iraniennes, devenant le premier malware à provoquer une destruction physique. WannaCry (mai 2017) a transformé en arme l'exploit divulgué EternalBlue de SMBv1 (MS17-010) pour se propager comme un ver sur plus de 200 000 machines dans 150 pays. NotPetya (juin 2017), déguisé en rançongiciel, était en réalité un wiper qui a causé des dommages estimés à 10 milliards de dollars chez Maersk, Merck et d'autres. Emotet, d'abord cheval de Troie bancaire, est devenu le loader de malware-as-a-service dominant, jusqu'à ce qu'une opération coordonnée (Operation Ladybird) saisisse son infrastructure en janvier 2021 — avant qu'il ne réapparaisse plus tard.

Le malware moderne recourt au packing, au polymorphisme, aux binaires légitimes du système (LOLBins) et aux techniques sans fichier (fileless) pour échapper à l'analyse par signatures. La défense se construit par couches : détection et réponse sur les terminaux (EDR/XDR) pour la détection comportementale, application rapide des correctifs, allow-listing applicatif, segmentation réseau, moindre privilège, MFA résistant à l'hameçonnage, sensibilisation des utilisateurs et sauvegardes immuables hors ligne, dont la restauration est régulièrement testée.

flowchart TD
  D[Diffusion: hameconnage / exploit / chaine d approvisionnement] --> E[Execution sur le terminal]
  E --> P[Persistance: registre, tache planifiee, service]
  P --> C2[Canal de commande et controle]
  C2 --> A{Objectif}
  A --> S[Voler donnees ou identifiants]
  A --> R[Chiffrer contre rancon]
  A --> L[Mouvement lateral]
  L --> P