Comment éviter d'infecter un ordinateur par le biais d'un fichier d'archive auto-extractible ?
de TroieÉgalement connu sous le nom de: Archive Malveillante Auto-extractible (SFX)
Obtenez une analyse gratuite et vérifiez si votre ordinateur est infecté.
SUPPRIMEZ-LES MAINTENANTPour utiliser le produit complet, vous devez acheter une licence pour Combo Cleaner. 7 jours d’essai limité gratuit disponible. Combo Cleaner est détenu et exploité par RCS LT, la société mère de PCRisk.
Qu'est-ce qu'un fichier d'archive auto-extractible (SFX) malveillant ?
Les fichiers d'archives auto-extractibles (Self-extracting - SFX) sont traditionnellement utilisés pour partager des données compressées avec des personnes qui ne disposent pas du logiciel nécessaire pour décompresser et visualiser le contenu d'un fichier d'archive standard. Néanmoins, ces fichiers peuvent abriter des fonctionnalités malveillantes cachées qui ne sont pas immédiatement apparentes pour les utilisateurs et qui peuvent échapper à la détection par des mesures de sécurité technologiques.
En savoir plus sur les archives auto-extractibles
Les archives SFX exécutables fonctionnent en ajoutant le contenu destiné à l'archivage à un stub de décompression, qui est exécuté lorsque le fichier est lancé. Ce stub décompresse et expose en douceur le contenu du fichier, ce qui évite à l'utilisateur d'avoir à posséder un logiciel spécialisé.
Si les archives SFX peuvent être utilisées par les installateurs de logiciels pour faciliter l'installation, les entités malveillantes utilisent de plus en plus ces archives pour contourner les mesures de sécurité et exécuter des codes malveillants.
Différents types de décompresseurs SFX sont actuellement utilisés, en fonction du produit utilisé pour générer une archive SFX, et tous les produits n'offrent pas les mêmes fonctionnalités. Nombre de ces produits sont largement accessibles et conviviaux.
Par exemple, 7-Zip et WinRAR sont deux programmes qui permettent la création d'une archive SFX, chacun ayant sa propre version d'un stub de décompression et des caractéristiques qui peuvent être utilisées ou exploitées.
Les archives SFX sécurisées par un mot de passe se rencontrent généralement dans des contextes commerciaux où un produit est utilisé pour crypter un fichier et nécessite un mot de passe pour y accéder. Le fichier résultant est souvent une archive SFX avec une extension exécutable à laquelle on ne peut accéder que si le mot de passe approprié est fourni.
Cette même technique de protection des fichiers a également été exploitée pour permettre un accès non autorisé.
Une campagne implicant le botnet Emotet illustre la manière dont les archives SFX ont été exploitées. Dans ce cas, le botnet a distribué une archive SFX qui, lorsqu'elle est ouverte par un utilisateur, extrait automatiquement une deuxième archive SFX, protégée par un mot de passe.
L'archive entrait alors le mot de passe, extrayait son contenu et l'exécutait sans que l'utilisateur n'ait à fournir d'autres informations. En outre, un fichier leurre était affiché pour ne pas éveiller les soupçons.
D'autres exemples de maliciels tristement célèbres diffusés par des acteurs de la menace par l'intermédiaire d'archives SFX incluent CoinMiner et Quasar RAT.
| Nom | Archive Malveillante Auto-extractible (SFX) |
| Type de Menace | Cheval de Troie, virus voleur de mot de passe, maliciel bancaire, logiciel espion ou tout autre maliciel. |
| Noms de Détection (fichier yrqs.sfx.exe utilisé pour délivrer le maliciel) | Avast (Win32:Malware-gen), Combo Cleaner (Trojan.GenericKD.49033489), Emsisoft (Trojan.GenericKD.49033489 (B)), Kaspersky (Trojan-Dropper.Win32.Agent.teviwl), Microsoft (Trojan:Win32/Casdet!rfn), Liste complète (VirusTotal) |
| Symptômes | Les symptômes d'un fichier SFX malveillant peuvent varier en fonction du type spécifique de maliciel contenu dans le fichier. |
| Méthodes de Distribution | Pièces jointes de courriels infectés, publicités en ligne malveillantes, ingénierie sociale, pages compromises ou non fiables, etc. |
| Dommages | Mots de passe et informations bancaires volés, usurpation d'identité, ajout de l'ordinateur de la victime à un réseau botnet, etc. |
|
Suppression des maliciels (Windows) |
Pour éliminer d'éventuelles infections par des maliciels, analysez votre ordinateur avec un logiciel antivirus légitime. Nos chercheurs en sécurité recommandent d'utiliser Combo Cleaner. Téléchargez Combo CleanerUn scanner gratuit vérifie si votre ordinateur est infecté. Pour utiliser le produit complet, vous devez acheter une licence pour Combo Cleaner. 7 jours d’essai limité gratuit disponible. Combo Cleaner est détenu et exploité par RCS LT, la société mère de PCRisk. |
Conclusion
Pendant une période considérable, les archives auto-extractible ont facilité la distribution de fichiers aux utilisateurs finaux. Néanmoins, elles présentent une vulnérabilité en matière de sécurité, car le contenu des fichiers n'est pas facilement vérifiable et elles peuvent exécuter des commandes et des exécutables de manière silencieuse.
La méthode d'attaque que nous avons décrite ne nécessite qu'un seul clic et aucune saisie de mot de passe pour compromettre une cible, ce qui permet aux acteurs de la menace de mener diverses attaques, notamment le crypto-jacking, le vol de données et l'installation de rançongiciels.
Comment les maliciels contenus dans une archive auto-extractible (SFX) se sont-ils infiltrés dans mon ordinateur ?
Les acteurs de la menace distribuent des archives SFX malveillantes en intégrant un maliciel dans une archive SFX et en incitant les victimes à la télécharger et à l'ouvrir. Ils peuvent utiliser diverses techniques, comme déguiser l'archive en fichier légitime ou la dissimuler dans un courriel d'hameçonnage ou une fausse mise à jour logicielle.
Dans certains cas, ils peuvent également utiliser des archives SFX protégées par un mot de passe qui extraient et exécutent automatiquement leur charge utile malveillante sans aucune intervention de la part de l'utilisateur. Ces techniques permettent aux acteurs de la menace de distribuer des maliciels par le biais d'archives SFX et de compromettre les systèmes de leurs victimes.
Comment éviter l'installation de maliciels ?
Assurez-vous que votre système d'exploitation, vos applications et votre logiciel antivirus sont à jour. Méfiez-vous des pièces jointes aux courriels (et des liens contenus dans les courriels). N'ouvrez pas les pièces jointes de courriels provenant d'adresses inconnues ou de courriels qui semblent suspects. Les maliciels peuvent se cacher dans des pièces jointes telles que des documents Word, des fichiers PDF ou des fichiers ZIP.
Évitez de cliquer sur des liens provenant de sources inconnues ou qui semblent suspects. Ne téléchargez que des logiciels provenant de sources réputées et vérifiez que le site web est légitime avant de télécharger quoi que ce soit. Installez un logiciel antivirus réputé et maintenez-le à jour pour détecter et supprimer les maliciels de votre appareil.
Si vous pensez que votre ordinateur est déjà infecté, nous vous recommandons de lancer une analyse avec Combo Cleaner Antivirus pour Windows pour éliminer automatiquement les maliciels infiltrés.
SFX protégé par mot de passe généré avec WinRAR :
SFX protégé par un mot de passe et généré à l'aide de 7zip :
Comment supprimer manuellement un malware ?
La plupart des infections par trojan peuvent être supprimées en lançant une analyse complète du système avec Combo Cleaner. La procédure manuelle complète ci-dessous s'adresse aux cas où la suppression automatique a échoué, où vous souhaitez vérifier qu'une analyse n'a rien laissé passer, ou lorsque la menace dispose de plusieurs points de persistance.
Se déconnecter du réseau
Débranchez votre câble Ethernet et désactivez le Wi-Fi. Sur un ordinateur portable, la touche du mode avion est la solution la plus rapide.
De nombreux trojans exfiltrent des données - mots de passe enregistrés dans le navigateur, sessions bancaires, captures d'écran - et acceptent des commandes à distance. Couper le réseau stoppe immédiatement les deux. Restez déconnecté jusqu'à la phase 4.
Démarrer en mode sans échec avec prise en charge réseau
Le mode sans échec charge un ensemble minimal de pilotes et empêche la plupart des malwares de se lancer automatiquement. L'option « avec prise en charge réseau » vous permet de télécharger des outils - ne réactivez le Wi-Fi qu'une fois le démarrage terminé.
Ouvrez . Cliquez sur Redémarrer maintenant à côté de Démarrage avancé.
Votre ordinateur redémarre sur le menu « Choisir une option ». Cliquez sur . Après le second redémarrage, appuyez sur 5 ou F5.
Cliquez sur le logo Windows, maintenez la touche Maj enfoncée, cliquez sur l'icône Marche/Arrêt et choisissez Redémarrer. Sur l'écran « Choisir une option », cliquez sur . Appuyez sur F5.
Windows 8
Accédez à l'écran d'accueil, tapez avancé, puis sélectionnez Paramètres → Options de démarrage avancées → Redémarrer maintenant → Dépannage → Options avancées → Paramètres de démarrage → Redémarrer → F5.
Remarque : Windows 8 n'est plus pris en charge depuis janvier 2023 - continuer à l'utiliser vous expose à un risque de réinfection bien plus élevé.
Windows 7
Cliquez sur Démarrer → Arrêter → Redémarrer → OK. Pendant le démarrage du système, appuyez plusieurs fois sur F8 jusqu'à ce que le menu Options de démarrage avancées de Windows s'affiche, puis choisissez Mode sans échec avec prise en charge réseau.
Remarque : Windows 7 n'est plus pris en charge depuis janvier 2020 - continuer à l'utiliser vous expose à un risque de réinfection bien plus élevé.
Inspecter les processus en cours avec Process Explorer
Téléchargez Process Explorer depuis Microsoft Sysinternals. Exécutez-le en tant qu'administrateur. Cliquez sur et sur .
Triez par « Verified Signer ». Tout processus non signé exécuté depuis %AppData%, %LocalAppData%, %Temp% ou %ProgramData% est suspect. Faites un clic droit → Properties pour afficher le chemin complet de l'image. Faites un clic droit → « Search Online » pour rechercher les noms de processus inconnus.
Le Gestionnaire des tâches masque les chemins complets des fichiers, n'affiche pas les signatures numériques et regroupe les processus d'une manière qui permet facilement à un malware de passer inaperçu. Process Explorer est l'outil qu'utilisent les ingénieurs de Microsoft eux-mêmes.
Cartographier tous les points de persistance avec Autoruns
Téléchargez Autoruns. Faites un clic droit sur Autoruns.exe et choisissez Exécuter en tant qu'administrateur - sans élévation des privilèges, Autoruns ne peut pas inspecter les ruches de registre protégées.
Dans le menu, activez et , puis cliquez sur Refresh.
Les trojans modernes ne se limitent pas au démarrage. Parcourez les onglets suivants et recherchez les entrées non signées ou inconnues :
- Logon - les clés Run/RunOnce classiques
- Scheduled Tasks - une cachette fréquente, notamment les tâches qui exécutent PowerShell, MSHTA ou rundll32
- Services - les services non signés situés dans des dossiers autres que ceux de Microsoft
- WMI - les abonnements aux événements constituent un mécanisme de persistance discret (MITRE T1546.003)
- Image Hijacks - détournement de la valeur « Debugger » des options d'exécution des fichiers image (Image File Execution Options)
- AppInit - DLL chargées dans chaque processus doté d'une interface graphique
- Browser plug-ins - modules complémentaires non signés dans tous les navigateurs installés
Faites un clic droit sur une entrée suspecte → « Jump to Image » pour afficher le fichier réel. Un clic droit → « Search Online » ouvre VirusTotal pour le hachage du fichier. Ne supprimez rien pour l'instant - notez simplement les chemins des fichiers et les noms des entrées. Nous les supprimerons après les analyses.
Vérifier le fichier hosts et les paramètres DNS
Les trojans redirigent souvent les domaines de banques, d'antivirus et de mises à jour vers des serveurs contrôlés par l'attaquant, en modifiant le fichier hosts ou les paramètres DNS.
Fichier hosts : Ouvrez le Bloc-notes en tant qu'administrateur, puis ouvrez C:\Windows\System32\drivers\etc\hosts. Les entrées légitimes sont commentées avec #. Toute correspondance IP-domaine non commentée est suspecte - en particulier les redirections pour microsoft.com, windowsupdate ou votre banque.
Paramètres DNS : Ouvrez l'Invite de commandes en tant qu'administrateur et exécutez ipconfig /all. Vérifiez que vos serveurs DNS pointent vers votre FAI, votre routeur ou un résolveur public connu (Cloudflare 1.1.1.1, Google 8.8.8.8). Ouvrez ensuite et vérifiez que ni les paramètres DNS ni les paramètres DNS sur HTTPS (DoH) n'ont été détournés.
Un PC nettoyé dont le DNS est détourné reste un PC compromis. Vous croirez être sur chase.com alors que vous serez sur le clone de l'attaquant.
Aucun antivirus ne détecte tout à lui seul. L'ordre ci-dessous est volontaire : l'analyse hors ligne d'abord (elle détecte les rootkits avant le chargement complet de Windows), puis les outils d'analyse à la demande sur le système en cours d'exécution, et enfin le nettoyage manuel de tout ce qui leur a échappé.
Exécuter Microsoft Defender Offline
Redémarrez Windows en mode normal. Ouvrez . Sélectionnez Antivirus Microsoft Defender (analyse hors ligne) et cliquez sur Analyser maintenant. Votre ordinateur redémarre dans un environnement allégé et effectue l'analyse avant le chargement complet du système d'exploitation.
Les rootkits et les bootkits se cachent de tout outil d'analyse exécuté dans la session Windows déjà infectée. Une analyse hors ligne avant le démarrage examine le disque avant que le malware ne puisse se dissimuler.
Certifié VB100. Combine en une seule passe la protection anti-trojan, l'analyse du registre et des mécanismes de persistance, ainsi que la protection anti-spyware. Un essai gratuit de 7 jours est disponible.
Télécharger Combo CleanerLancer une analyse complète du système avec Combo Cleaner
Installez Combo Cleaner et lancez une analyse complète du système (et non l'analyse rapide). Laissez-la se terminer complètement, examinez les menaces détectées et appliquez les actions recommandées. Combo Cleaner met en quarantaine les trojans connus et supprime leurs mécanismes de persistance dans le registre.
Exécuter Microsoft Safety Scanner pour obtenir un second avis
Téléchargez Microsoft Safety Scanner (MSERT.exe), l'outil à la demande gratuit de Microsoft. Le binaire expire tous les 10 jours : chaque téléchargement contient donc les signatures les plus récentes. Lancez une analyse complète après Combo Cleaner pour détecter tout ce qu'un seul moteur pourrait manquer.
Des moteurs d'analyse différents détectent des menaces différentes. Exécuter une analyse Microsoft supplémentaire après Combo Cleaner est, de loin, l'étape de vérification la plus sous-utilisée dans la suppression des malwares.
Supprimer manuellement tout ce qui figure encore dans Autoruns
Rouvrez Autoruns. Tout élément repéré à l'étape 4 et toujours présent n'a pas été détecté par les analyses automatiques. Pour chaque entrée suspecte restante : clic droit → Delete dans Autoruns (cela supprime l'enregistrement de persistance), puis accédez au chemin du fichier et supprimez le fichier lui-même. Videz la Corbeille.
Certains fichiers malveillants réapparaissent après leur suppression, car un autre élément du système les recrée. Si vous supprimez un fichier et qu'il revient en quelques minutes, il reste un point de persistance qu'Autoruns n'a pas affiché - généralement un service ou une tâche planifiée qui s'exécute sous le compte SYSTEM. Relancez les analyses des étapes 6 à 8 ou passez à une installation propre (voir la fin du guide).
Réinitialiser les navigateurs et supprimer les autorisations de notification
Les trojans et les adwares détournent fréquemment les navigateurs : ils modifient le moteur de recherche par défaut, installent des extensions malveillantes ou s'accordent des autorisations de notification pour continuer à afficher des pop-ups frauduleuses, même après la disparition du malware.
- Chrome : accédez à
chrome://settings/resetet cliquez sur « Restaurer les paramètres par défaut ». Accédez ensuite àchrome://settings/content/notificationset supprimez tous les sites inconnus. - Edge : accédez à
edge://settings/reset. Vérifiez ensuiteedge://settings/content/notifications. - Firefox : ouvrez
about:supportet cliquez sur Réparer Firefox (Firefox parle de « Réparer » et non de « Réinitialiser »). Vérifiez ensuite Paramètres → Vie privée et sécurité → Permissions → Notifications.
Passez en revue les extensions installées dans chaque navigateur et supprimez tout ce que vous ne reconnaissez pas, en particulier les extensions que vous n'avez pas installées vous-même.
Réactiver Defender et la protection contre les falsifications, puis tout mettre à jour
De nombreux trojans désactivent les logiciels de sécurité. Ouvrez et vérifiez que la Protection en temps réel, la Protection fournie par le cloud et la Protection contre les falsifications sont toutes activées. La protection contre les falsifications empêche les malwares de désactiver Defender à votre insu.
Lancez ensuite Windows Update () et mettez à jour vos navigateurs et vos applications. Le vecteur d'infection qui a permis au trojan de s'introduire implique généralement des logiciels obsolètes.
Changer vos mots de passe depuis un appareil sain
Si le trojan était un info-stealer (Lumma, RedLine, Vidar et d'autres similaires sont extrêmement répandus), partez du principe que tous les mots de passe enregistrés dans votre navigateur sont compromis. Changez-les depuis un autre appareil dont vous êtes sûr qu'il est sain - votre téléphone convient s'il n'est pas infecté.
Ordre recommandé :
- Adresse e-mail principale en premier - c'est le point central de récupération de tous vos autres comptes
- Comptes bancaires et financiers
- Mot de passe principal du gestionnaire de mots de passe (si vous en utilisez un)
- Réseaux sociaux, sites marchands et autres comptes
Lorsque c'est possible, activez une authentification multifacteur résistante au phishing (clés d'accès / clés matérielles FIDO2 / applications d'authentification) - la MFA par SMS peut être contournée par des attaquants expérimentés.
Vérifier le nettoyage et surveiller pendant 7 jours
Reconnectez-vous au réseau et lancez une dernière analyse complète avec Combo Cleaner. Ouvrez le Gestionnaire des tâches (Ctrl + Maj + Échap) et passez à l'onglet Applications de démarrage - vérifiez que rien de suspect n'est réapparu.
Au cours des 7 jours suivants, surveillez la réapparition des symptômes : utilisation anormalement élevée du processeur, retour de processus inconnus, redirections du navigateur ou pop-ups. Si quelque chose revient, c'est qu'un point de persistance vous a échappé et que la procédure doit être répétée - ou que la compromission est plus profonde et nécessite une installation propre.
Quand privilégier une installation propre de Windows
La suppression manuelle n'est pas toujours la bonne solution. Réinstaller Windows de zéro est le seul moyen d'être certain à 100 % lorsque :
- Le malware réapparaît après chaque tentative de suppression
- Un bootkit ou un rootkit UEFI a été détecté (cette catégorie de menace se situe sous le système d'exploitation et survit à une réinstallation normale de Windows)
- Un trojan de vol d'identifiants s'est avéré s'exécuter avec des privilèges d'administrateur (Lumma, RedLine, Vidar) - le système contient probablement plusieurs charges utiles inconnues
- Le PC sert aux opérations bancaires en ligne, à la messagerie professionnelle ou à toute activité où le moindre doute n'est pas acceptable
Une installation propre prend 30 à 60 minutes : réinstallez Windows 11 via . Sauvegardez d'abord vos documents sur un support de stockage externe, analysez la sauvegarde avec Combo Cleaner avant de la restaurer, et réinstallez les applications à partir de zéro - ne les restaurez jamais depuis une sauvegarde du système infecté.
Important : La suppression manuelle exige des compétences informatiques avancées. Si vous ne savez pas distinguer avec certitude les fichiers système des fichiers malveillants, lancez une analyse automatique avec Combo Cleaner et Windows Defender et arrêtez-vous là - cette méthode élimine la grande majorité des trojans grand public sans risquer d'endommager Windows en supprimant le mauvais fichier.
Foire Aux Questions (FAQ)
Mon ordinateur est infecté par un maliciel, dois-je formater mon périphérique de stockage pour m'en débarrasser ?
Bien que le formatage de votre périphérique de stockage puisse éliminer efficacement les maliciels, il est préférable de l'utiliser en dernière option. Avant de recourir à cette mesure radicale, il est recommandé d'essayer de supprimer le maliciel à l'aide d'un logiciel antivirus fiable.
Quels sont les principaux problèmes causés par les maliciels ?
Les maliciels peuvent être à l'origine de nombreux problèmes, notamment le vol ou la corruption d'informations sensibles. Ils peuvent également ralentir ou bloquer les systèmes, ce qui perturbe considérablement les opérations quotidiennes et la productivité. Les maliciels peuvent être utilisés pour diffuser des rançongiciels, créer des rançongiciels (botnets) qui peuvent être contrôlés à distance et utilisés pour lancer des cyberattaques à grande échelle, et bien plus encore.
Quel est l'objectif d'un maliciel ?
Les maliciels peuvent être utilisés pour voler des informations sensibles telles que des données personnelles et des informations financières, endommager ou détruire des fichiers, perturber le fonctionnement normal des systèmes et prendre le contrôle des appareils infectés. Les maliciels peuvent également être utilisés pour des activités frauduleuses telles que des attaques par hameçonnage ou pour distribuer des courriels indésirables. Les motivations derrière la création et la distribution de maliciels peuvent varier.
Comment un maliciel s'est-il infiltré dans mon ordinateur ?
Les maliciels peuvent s'infiltrer dans un ordinateur par différents moyens, tels que les courriels d'hameçonnage, les téléchargements malveillants et les sites web infectés. En outre, les maliciels peuvent se propager par le biais de supports amovibles tels que des clés USB ou des CD et par les vulnérabilités du réseau.
Combo Cleaner me protègera-t-il des maliciels ?
Combo Cleaner peut identifier et supprimer presque tous les types de maliciels connus, mais il convient de noter que les maliciels avancés peuvent souvent se cacher profondément dans un système. Par conséquent, une analyse complète du système est nécessaire pour garantir une détection et une suppression efficaces.
Partager:
Facebook
X.com
LinkedIn
Copier le lien
Tomas Meskauskas
Chercheur expert en sécurité, analyste professionnel en logiciels malveillants
Je suis passionné par la sécurité informatique et la technologie. J'ai une expérience de plus de 10 ans dans diverses entreprises liées à la résolution de problèmes techniques informatiques et à la sécurité Internet. Je travaille comme auteur et éditeur pour PCrisk depuis 2010. Suivez-moi sur Twitter et LinkedIn pour rester informé des dernières menaces de sécurité en ligne.
Le portail de sécurité PCrisk est proposé par la société RCS LT.
Des chercheurs en sécurité ont uni leurs forces pour sensibiliser les utilisateurs d'ordinateurs aux dernières menaces en matière de sécurité en ligne. Plus d'informations sur la société RCS LT.
Nos guides de suppression des logiciels malveillants sont gratuits. Cependant, si vous souhaitez nous soutenir, vous pouvez nous envoyer un don.
Faire un donLe portail de sécurité PCrisk est proposé par la société RCS LT.
Des chercheurs en sécurité ont uni leurs forces pour sensibiliser les utilisateurs d'ordinateurs aux dernières menaces en matière de sécurité en ligne. Plus d'informations sur la société RCS LT.
Nos guides de suppression des logiciels malveillants sont gratuits. Cependant, si vous souhaitez nous soutenir, vous pouvez nous envoyer un don.
Faire un don
▼ Montrer la discussion