Un logiciel malveillant (ou malware) est un programme conçu pour s’introduire dans un appareil sans consentement, afin de voler des données, extorquer de l’argent ou prendre le contrôle d’un système. Tous les malwares ne sont pas des virus : le mot « virus » désigne un mécanisme de propagation précis, alors que « logiciel malveillant » est le terme générique qui englobe virus, vers, chevaux de Troie, rançongiciels, logiciels espions et le reste. Cette page passe en revue les grandes catégories, chacune illustrée par un cas réel nommé et daté, du virus Melissa (1999) au rançongiciel-as-a-service des années récentes.
- « Logiciel malveillant » est le terme générique ; le virus n’en est qu’un type, défini par sa façon de se propager.
- Trois grilles de lecture coexistent : le mécanisme de propagation, l’objectif de l’attaquant et la technique de furtivité.
- Le rançongiciel (ransomware) est aujourd’hui la menace la plus coûteuse pour les entreprises et les collectivités.
- WannaCry, en mai 2017, exploitait la faille Windows EternalBlue et combinait un ver et un rançongiciel.
- En cas d’infection, l’ANSSI et cybermalveillance.gouv.fr recommandent de ne pas payer la rançon et de déconnecter l’appareil.
En France, l’ANSSI et la plateforme cybermalveillance.gouv.fr classent le rançongiciel parmi les principales menaces pesant sur les organisations. Pour chaque type ci-dessous, vous trouverez un exemple historique nommé, son mécanisme, son vecteur de propagation et les bons réflexes pour s’en protéger. Pour le contexte plus large de la sécurité informatique des organisations, voir notre dossier sur l’entreprise digitale.
Quels sont les principaux types de logiciels malveillants ?
On distingue une douzaine de grandes catégories selon le mode de propagation, l’objectif visé et la technique de dissimulation. Les plus courantes sont le virus, le ver, le cheval de Troie, le rançongiciel, le logiciel espion, le logiciel publicitaire, le rootkit, l’enregistreur de frappe, le réseau de zombies, le malware sans fichier, le malware mobile et le cryptojacking. Le tableau suivant croise, pour chacune, son mécanisme, son vecteur principal et un exemple réel daté.
| Type de malware | Mécanisme | Vecteur principal | Exemple réel (année) |
|---|---|---|---|
| Virus | S’attache à un fichier hôte et s’exécute à son ouverture | Pièce jointe, fichier infecté | Melissa (1999) |
| Ver (worm) | Se réplique seul de machine en machine, sans hôte | Réseau, faille système, USB | WannaCry (2017) |
| Cheval de Troie | Se fait passer pour un logiciel légitime | Téléchargement, pièce jointe | Emotet (2014) |
| Rançongiciel (ransomware) | Chiffre les données et exige une rançon | Hameçonnage, RDP, faille | RobbinHood / Baltimore (2019) |
| Logiciel espion (spyware) | Surveille et exfiltre l’activité à l’insu de l’utilisateur | App piégée, faille zero-day | Pegasus (2016) |
| Logiciel publicitaire (adware) | Affiche des publicités forcées, détourne le navigateur | Bundle d’installation gratuit | Fireball (2017) |
| Malware sans fichier (fileless) | S’exécute en mémoire vive, sans écrire sur le disque | Scripts PowerShell, macros | DNSMessenger (2017) |
| Rootkit | Prend un accès privilégié et se dissimule du système | Pilote signé, exploit noyau | Rootkit Sony BMG (2005) |
| Enregistreur de frappe (keylogger) | Capture chaque touche frappée | Trojan, pièce jointe | Olympic Vision |
| Réseau de zombies (botnet) | Asservit des appareils pilotés à distance | Infection IoT, faille | Mirai (2016) |
| Malware mobile | Cible Android/iOS pour voler données et argent | Boutique tierce, SMS | Triada (Android) |
| Cryptojacking | Détourne la puissance de calcul pour miner de la cryptomonnaie | Script web, app piégée | XMRig |
Qu’est-ce qu’un virus informatique et quel exemple connaît-on ?
Un virus informatique est un code malveillant qui s’attache à un fichier ou un programme légitime et se propage quand l’utilisateur l’ouvre ou l’exécute. Contrairement au ver, il a besoin d’une action humaine et d’un fichier hôte pour se diffuser. Le virus Melissa, apparu en 1999, fut l’un des premiers à se propager massivement par e-mail via un document Word infecté qui s’auto-envoyait aux premiers contacts Outlook de la victime, saturant de nombreux serveurs de messagerie.
Son auteur, David L. Smith, a été identifié et condamné aux États-Unis. Le vecteur typique du virus reste la pièce jointe et le fichier téléchargé. Un antivirus à jour et la méfiance face aux documents non sollicités restent les premières lignes de défense, y compris sur les suites bureautiques : les fichiers d’un logiciel de traitement de texte à macros ont longtemps servi de support à ce type d’attaque.
Qu’est-ce qu’un ver informatique et quel exemple connaît-on ?
Un ver (worm) est un logiciel malveillant qui se réplique de lui-même et se propage de machine en machine sans fichier hôte ni intervention de l’utilisateur, en exploitant des failles réseau. C’est sa capacité d’auto-diffusion qui le distingue du virus. Selon l’ANSSI et cybermalveillance.gouv.fr, le ver-rançongiciel WannaCry, en mai 2017, s’est propagé en quelques jours dans de nombreux pays en exploitant la faille Windows EternalBlue.
Il a notamment paralysé une partie du système de santé britannique (NHS) et combinait la diffusion d’un ver avec un mécanisme de rançongiciel. Le ver se propage par les failles non corrigées, les partages réseau et les supports amovibles. La mise à jour systématique des systèmes est la parade décisive : dans le cas de WannaCry, le correctif de la faille EternalBlue était disponible avant l’attaque.
Qu’est-ce qu’un cheval de Troie et quel exemple connaît-on ?
Un cheval de Troie (trojan) est un logiciel malveillant qui se déguise en programme légitime pour tromper l’utilisateur et s’installer. Contrairement au virus et au ver, il ne se réplique pas seul : il mise sur la ruse pour être installé volontairement par la victime. Le cheval de Troie bancaire Emotet, actif depuis 2014, est devenu l’un des malwares les plus redoutés du cybercrime.
D’abord conçu pour voler des identifiants bancaires, Emotet s’est transformé en plateforme de distribution d’autres malwares. Son infrastructure a été démantelée par une opération internationale coordonnée, impliquant notamment Europol, en janvier 2021, avant plusieurs tentatives de retour. Le trojan arrive par pièce jointe piégée, faux installeur ou logiciel cracké. Télécharger uniquement depuis des sources officielles réduit fortement le risque, y compris pour un logiciel RH ou un outil métier : passer par l’éditeur officiel, jamais par un lien tiers.
Qu’est-ce qu’un rançongiciel et quel exemple connaît-on ?
Un rançongiciel (ransomware) est un logiciel malveillant qui chiffre les fichiers de la victime puis exige une rançon, généralement en cryptomonnaie, contre la clé de déchiffrement. C’est aujourd’hui la menace la plus coûteuse pour les entreprises et les collectivités. L’attaque RobbinHood contre la ville de Baltimore, en 2019, a paralysé pendant des semaines les services municipaux (paiements, messageries, systèmes internes).
Le modèle s’est depuis industrialisé sous forme de rançongiciel-as-a-service, où des groupes louent leur outil à des affiliés. En France, cybermalveillance.gouv.fr place le rançongiciel parmi les principales demandes d’assistance des professionnels. La parade repose sur des sauvegardes hors ligne testées, le cloisonnement réseau et un plan de réponse à incident. La protection des données passe aussi par une bonne hygiène de messagerie électronique, le courriel piégé restant un point d’entrée majeur des rançongiciels.
En cas de rançongiciel, le premier réflexe n’est pas de payer mais de déconnecter l’appareil, de préserver les traces et de signaler l’incident. C’est la recommandation constante de l’ANSSI et de cybermalveillance.gouv.fr : payer ne garantit pas la récupération des données et finance l’activité criminelle.
Qu’est-ce qu’un logiciel espion et quel exemple connaît-on ?
Un logiciel espion (spyware) est un malware qui surveille discrètement l’activité d’un appareil (frappes, localisation, micro, messages) et exfiltre les données à l’insu de l’utilisateur. Sa furtivité est son arme principale. Le logiciel espion Pegasus, du groupe israélien NSO, révélé largement à partir de 2016, permettait de surveiller à distance des smartphones via des failles zero-day, parfois sans la moindre action de la cible (attaque dite « zero-click »).
Des journalistes, militants et responsables politiques ont figuré parmi les cibles documentées. Le spyware s’installe via une app piégée, un lien malveillant ou une faille système. Les mises à jour de sécurité des smartphones et la prudence sur les liens reçus limitent l’exposition.
Qu’est-ce qu’un logiciel publicitaire et quel exemple connaît-on ?
Un logiciel publicitaire (adware) est un malware qui affiche des publicités intrusives, détourne la page d’accueil du navigateur et collecte des données de navigation à des fins de revente. Moins destructeur qu’un rançongiciel, il dégrade fortement l’expérience et la confidentialité. L’adware Fireball, découvert en 2017, prenait le contrôle des navigateurs pour générer de faux clics publicitaires et rediriger les recherches vers de faux moteurs.
L’adware arrive surtout via les installeurs de logiciels gratuits qui embarquent des programmes additionnels (bundling). Décocher les options d’installation superflues et vérifier l’éditeur avant d’installer un outil, qu’il s’agisse d’un logiciel PDF gratuit ou d’une extension de navigateur, réduit le risque.
Qu’est-ce qu’un logiciel malveillant sans fichier et quel exemple connaît-on ?
Un logiciel malveillant sans fichier (fileless malware) s’exécute directement dans la mémoire vive en détournant des outils légitimes du système (PowerShell, WMI, macros), sans écrire de fichier sur le disque. Cette absence de fichier le rend très difficile à détecter par les antivirus classiques. DNSMessenger, analysé par les chercheurs de Cisco Talos en 2017, utilisait des requêtes DNS pour communiquer avec ses serveurs de commande, en restant entièrement en mémoire pour échapper à la détection.
Astaroth illustre la même technique de furtivité « vivant de la terre » (living off the land). Le fileless arrive par macro de document, script ou lien piégé. Une protection de type EDR (détection comportementale), plus qu’un antivirus à signatures, est nécessaire pour le repérer.
Qu’est-ce qu’un rootkit et quel exemple connaît-on ?
Un rootkit est un logiciel malveillant qui obtient un accès privilégié (niveau administrateur ou noyau) et se dissimule profondément dans le système pour y rester invisible et persistant. Sa spécialité est la furtivité de bas niveau. Le rootkit installé par Sony BMG en 2005, via un dispositif anti-copie présent sur des CD audio, s’installait silencieusement sur les PC Windows et ouvrait une faille de sécurité exploitable par d’autres malwares.
Le scandale qui a suivi a contraint Sony à rappeler les disques concernés et à faire face à des poursuites. Le rootkit s’installe via un pilote signé détourné, un exploit ou un autre malware. Sa détection passe souvent par une analyse hors ligne (démarrage sur un support externe), car il manipule le système en cours d’exécution.
Qu’est-ce qu’un enregistreur de frappe et quel exemple connaît-on ?
Un enregistreur de frappe (keylogger) est un malware qui capture chaque touche tapée au clavier pour voler identifiants, mots de passe et numéros de carte bancaire. Il peut être logiciel ou, plus rarement, matériel. Le keylogger Olympic Vision a été diffusé comme un outil « clé en main », vendu à bas prix sur des places de marché clandestines, et utilisé pour cibler des entreprises via des e-mails d’hameçonnage afin de dérober des identifiants professionnels.
Limitless et Predator Pain relèvent de la même catégorie de keyloggers commercialisés. Le keylogger arrive par cheval de Troie, pièce jointe ou faux logiciel. L’authentification à deux facteurs (2FA) réduit fortement l’impact d’un mot de passe volé.
Qu’est-ce qu’un réseau de zombies et quel exemple connaît-on ?
Un réseau de zombies (botnet) est un ensemble d’appareils infectés et pilotés à distance par un attaquant pour mener des actions coordonnées, le plus souvent des attaques par déni de service distribué (DDoS) ou de l’envoi de spam. Le botnet Mirai, en 2016, a asservi un très grand nombre d’objets connectés mal sécurisés (caméras, routeurs) pour lancer l’une des plus grosses attaques DDoS observées à l’époque.
La variante Echobot a ensuite repris une partie de son code. Le botnet se constitue en exploitant des objets connectés restés sur leurs mots de passe par défaut. Changer les identifiants d’usine des équipements IoT est la mesure de base. La gestion des terminaux et des accès est typiquement le ressort d’un informaticien ou du service IT, qui supervise le parc connecté.
Qu’est-ce qu’un malware mobile et quel exemple connaît-on ?
Un malware mobile est un logiciel malveillant conçu pour les smartphones et tablettes (Android et iOS) afin de voler des données, intercepter des SMS bancaires ou afficher des publicités forcées. La généralisation du mobile en entreprise en fait une cible croissante. Le malware Triada, sur Android, a été découvert pré-installé sur certains terminaux d’entrée de gamme et agissait au niveau système pour installer d’autres applications malveillantes et détourner des transactions.
Il illustre le risque d’une chaîne d’approvisionnement compromise en amont, avant même la mise en service de l’appareil. Le malware mobile arrive par boutiques d’applications tierces, SMS piégés (smishing) ou applications clonées. Installer uniquement depuis les stores officiels et maintenir le système à jour limite l’exposition. Sur les tablettes notamment, une solution antivirus adaptée à la tablette complète utilement la prudence à l’installation.
Qu’est-ce que le cryptojacking et quel exemple connaît-on ?
Le cryptojacking est un malware qui détourne discrètement la puissance de calcul d’un appareil pour miner de la cryptomonnaie au profit de l’attaquant, sans voler de données mais en dégradant les performances et en augmentant la facture électrique. Le mineur XMRig, à l’origine un logiciel légitime de minage, a été massivement détourné à des fins malveillantes et figure régulièrement parmi les charges utiles les plus répandues dans les campagnes de cryptojacking.
Il sert surtout à miner la cryptomonnaie Monero, réputée difficile à tracer. Le cryptojacking arrive par script injecté dans une page web, app piégée ou faille serveur. Une charge CPU anormalement élevée est un indicateur ; bloquer les scripts de minage dans le navigateur et corriger les failles serveur sont des parades utiles.
Comment classer un logiciel malveillant : objectif, mécanisme, furtivité ?
La confusion entre les types vient d’un mélange de critères. Les catégories de malwares ne répondent pas à la même question : certaines décrivent un objectif, d’autres un mécanisme de propagation, d’autres une technique de furtivité ou une plateforme cible. Trois grilles de lecture se superposent et un même malware en combine souvent plusieurs.
- Par mécanisme de propagation : le virus a besoin d’un fichier hôte, le ver se réplique seul, le cheval de Troie se fait installer par ruse. C’est le « comment ça se diffuse ».
- Par objectif de l’attaquant : le rançongiciel veut de l’argent, le logiciel espion veut des données, le cryptojacking veut de la puissance de calcul, le botnet veut des machines. C’est le « pourquoi ».
- Par technique de furtivité ou plateforme : le malware sans fichier évite le disque, le rootkit se cache au niveau système, le malware mobile cible une plateforme. C’est le « comment il échappe à la détection ».
WannaCry, par exemple, est à la fois un ver (mécanisme) et un rançongiciel (objectif). Cette grille explique pourquoi « virus » et « logiciel malveillant » ne sont pas synonymes : le virus est un mécanisme parmi d’autres au sein de la famille des malwares.
Quels sont les exemples de malwares historiques marquants ?
Les cas cités s’inscrivent dans une menace qui évolue d’expériences isolées vers une industrie criminelle organisée. Cette frise situe les principaux exemples dans le temps.
- 2005 : rootkit Sony BMG, diffusé via des CD audio.
- 2007 : cheval de Troie bancaire Zeus, vol massif d’identifiants.
- 2010 : ver Stuxnet, cas emblématique de cyber-sabotage industriel documenté visant des installations en Iran.
- 2014 : cheval de Troie Emotet, futur « couteau suisse » du cybercrime.
- 2016 : botnet Mirai (DDoS via objets connectés) et logiciel espion Pegasus.
- 2017 : ver-rançongiciel WannaCry, NotPetya, adware Fireball, fileless DNSMessenger.
- 2019 : rançongiciel RobbinHood contre la ville de Baltimore.
- Années récentes : industrialisation du rançongiciel-as-a-service et professionnalisation des groupes criminels.
Quels sont les 5 signes d’infection et que faire dans l’ordre ?
Aucun signe n’est à lui seul une preuve, mais leur cumul doit alerter. Les symptômes les plus fréquents d’un appareil infecté sont les suivants.
- Ralentissement soudain et inexplicable de l’appareil.
- Pop-ups publicitaires et redirections du navigateur vers des sites inconnus.
- Page d’accueil ou moteur de recherche modifiés sans votre action.
- Programmes ou extensions installés que vous ne reconnaissez pas.
- Activité réseau, surchauffe ou consommation de batterie anormales (signe possible de cryptojacking ou de botnet).
En cas de suspicion, voici les étapes à suivre dans l’ordre :
- Déconnecter l’appareil du réseau (couper le Wi-Fi et le câble) pour stopper l’exfiltration et la propagation.
- Ne pas payer de rançon : cybermalveillance.gouv.fr et l’ANSSI le déconseillent, le paiement ne garantit pas la récupération des données.
- Lancer une analyse antivirus / anti-malware complète depuis un compte sain, voire en mode sans échec.
- Changer les mots de passe critiques depuis un autre appareil, en activant la double authentification.
- Pour une entreprise : déclarer l’incident, s’appuyer sur cybermalveillance.gouv.fr, et notifier la CNIL si des données personnelles sont concernées.
Avantages et limites d’un antivirus face aux malwares
L’antivirus reste une brique essentielle, mais il ne couvre pas toutes les catégories de menaces. Comprendre ce qu’il fait bien et ce qui lui échappe aide à bâtir une défense réaliste.
- Avantages : détection efficace des virus et trojans connus par signatures, analyse en temps réel des fichiers téléchargés, mise en quarantaine automatique, faible coût pour un poste individuel.
- Limites : peu efficace seul contre le malware sans fichier et le rootkit, dépendance aux signatures (les menaces inédites passent), aucune protection contre l’erreur humaine (clic sur un lien d’hameçonnage), nécessité de le compléter par un EDR en entreprise.
FAQ : logiciels malveillants et exemples
Un virus et un logiciel malveillant, c’est la même chose ?
Non. « Logiciel malveillant » (malware) est le terme générique qui regroupe toutes les menaces : virus, vers, chevaux de Troie, rançongiciels, logiciels espions, etc. Le virus n’est qu’un type de malware, défini par sa façon de se propager (il s’attache à un fichier hôte). Tout virus est un malware, mais tout malware n’est pas un virus.
Quel est le logiciel malveillant le plus dangereux ?
Il n’y a pas de réponse unique. En coût pour les organisations, le rançongiciel domine aujourd’hui, car il bloque l’activité et exige une rançon. En portée historique, des cas comme WannaCry (2017) ou le botnet Mirai (2016) restent des références par le nombre d’appareils touchés. Le « plus dangereux » dépend du critère retenu : coût, portée ou furtivité.
Comment supprimer un logiciel malveillant ?
Déconnectez l’appareil du réseau, lancez une analyse complète avec un antivirus ou un anti-malware reconnu, supprimez les programmes suspects, puis changez vos mots de passe depuis un appareil sain. Pour un rootkit ou un malware sans fichier, une analyse hors ligne ou l’intervention d’un professionnel est souvent nécessaire. En entreprise, passez par votre service informatique ou un prestataire.
Comment éviter d’être infecté ?
Mettez à jour systèmes et logiciels (beaucoup d’attaques exploitent des failles déjà corrigées), n’ouvrez pas les pièces jointes et liens non sollicités, téléchargez depuis des sources officielles, utilisez un antivirus à jour et activez la double authentification. La sensibilisation des collaborateurs reste un facteur déterminant, l’hameçonnage étant un vecteur d’entrée majeur.
Les smartphones et tablettes sont-ils concernés ?
Oui. Le malware mobile vise Android et iOS pour voler des données, intercepter des SMS bancaires ou afficher des publicités forcées. Le risque reste plus faible si l’on installe uniquement depuis les stores officiels et que l’on maintient le système à jour ; sur tablette, un antivirus adapté complète la prudence.
Faut-il payer la rançon en cas de rançongiciel ?
Non. L’ANSSI et cybermalveillance.gouv.fr déconseillent fermement le paiement : il ne garantit pas la récupération des données, encourage les cybercriminels à surenchérir et finance l’activité criminelle. Le bon réflexe est de déconnecter l’appareil, de préserver les traces et de signaler l’incident.
