Malwares et ransomwares : comment ça marche

Quand on parle de « virus », on pense souvent à un programme qui détruit un ordinateur par pur vandalisme. La réalité d'aujourd'hui est plus prosaïque : la plupart des logiciels malveillants sont conçus pour rapporter de l'argent. Comprendre leur fonctionnement, c'est comprendre pourquoi les bons réflexes de protection sont si efficaces.

Dans la leçon précédente, vous avez vu comment un message piégé peut vous pousser à cliquer. Voyons maintenant ce que le clic peut déclencher. Nora, notre personnage fil rouge, va nous aider à suivre la chaîne des événements.

Qu'est-ce qu'un malware ?

Un malware (contraction de malicious software, « logiciel malveillant ») est un programme conçu pour agir contre les intérêts de son utilisateur : voler des données, espionner, détruire, bloquer ou utiliser la machine à son insu. Le mot « virus » n'en désigne qu'une famille particulière, celle des programmes qui se copient d'un fichier à l'autre.

Un malware est avant tout un logiciel comme un autre : pour fonctionner, il doit être exécuté sur votre appareil. Presque toute la prévention consiste donc à empêcher l'arrivée ou l'exécution d'un programme que vous n'avez pas voulu.

Les grandes familles

Ces familles se combinent souvent : un cheval de Troie peut installer un voleur d'identifiants, puis ouvrir la porte à un rançongiciel.

Comment un malware arrive-t-il chez vous ?

Les voies d'entrée les plus courantes sont peu spectaculaires :

• une pièce jointe ou un lien reçu par un message piégé ;
• un logiciel téléchargé hors des sources officielles : version « gratuite » d'un programme payant, générateur de licences, extension de navigateur douteuse ;
• un site compromis ou une fausse publicité qui propose une « mise à jour obligatoire » ;
• une faille non corrigée dans un système ou un logiciel (d'où l'importance des mises à jour, chapitre 3) ;
• une clé USB ou un support externe d'origine inconnue ;
• une application mobile installée en dehors de la boutique officielle ou demandant des droits sans rapport avec sa fonction.

Remarquez que beaucoup de ces voies passent par une décision humaine : télécharger, accepter, autoriser. La technique attaque la faille, mais l'ingénierie sociale ouvre souvent la porte.

Le rançongiciel, en détail

Le rançongiciel est la menace la plus médiatisée, parce que son effet est immédiat et visible. Son fonctionnement général, sans entrer dans les détails techniques, tient en quatre étapes :

1. L'infiltration. Le programme arrive par l'une des voies ci-dessus et s'exécute.
2. Le chiffrement. Il parcourt les dossiers accessibles (documents, photos, parfois dossiers partagés ou sauvegardes connectées) et les rend illisibles à l'aide d'un procédé de chiffrement. Les fichiers existent encore, mais sans la clé, ils sont inutilisables.
3. Le message. Une note s'affiche : vos données sont bloquées, et une somme est demandée, généralement en cryptomonnaie, en échange de la clé.
4. La pression. Un compte à rebours est parfois affiché. Dans certains cas, les fraudeurs ont d'abord copié les données et menacent de les publier : c'est la « double extorsion ».

Pensez à quelqu'un qui entre chez vous, place tous vos documents dans des coffres dont il détient les clés et vous propose de les racheter. Même en payant, rien ne garantit que vous récupérerez tout : le fraudeur n'a aucune obligation, et son outil peut être défaillant.

Faut-il payer ?

Les autorités françaises, dont l'ANSSI et le dispositif cybermalveillance.gouv.fr, recommandent de ne pas payer la rançon : le paiement n'offre aucune garantie, alimente le système criminel et signale que vous êtes une cible rentable. La vraie réponse est préventive : des sauvegardes régulières, déconnectées et testées (chapitre 3). Si vos données sont sauvegardées proprement, l'attaque devient une grosse contrariété plutôt qu'un désastre.

Reconnaître les signes d'une infection

Certains signes doivent éveiller votre attention (nous les détaillerons au chapitre 7) :

• ordinateur ou téléphone soudainement très lent, qui chauffe ou dont la batterie s'épuise anormalement ;
• fenêtres publicitaires qui apparaissent sans raison, page d'accueil du navigateur modifiée ;
• programmes inconnus, extensions que vous n'avez pas installées ;
• antivirus désactivé sans votre action ;
• fichiers dont l'extension a changé et qui ne s'ouvrent plus, ou message de demande de rançon.

L'absence de signe n'est pas une garantie : les logiciels espions et voleurs d'identifiants sont conçus pour rester discrets.

Et sur téléphone ?

Les téléphones sont aussi concernés, avec des spécificités : les applications y sont davantage cloisonnées, ce qui limite certains types d'attaques, mais les faux SMS, les applications aux permissions excessives et les abonnements piégés sont très fréquents. Nous y reviendrons au chapitre 3.

À vous de jouer

Nora veut regarder un film. Elle trouve un site qui propose une « version complète gratuite » et lui demande d'installer un « lecteur spécial » pour le visionner. Elle hésite.

1. Quel type de malware ce scénario illustre-t-il ?
2. Quelles questions Nora doit-elle se poser ?
3. Quelle serait une alternative plus sûre ?

Les malwares sont une partie du problème ; l'autre, ce sont les arnaques qui visent directement votre argent. C'est le sujet de la leçon suivante.