Chapitre 6 — Types de Malwares

Ce module couvre en détail tous les types de malwares testés dans l'examen Security+, leurs caractéristiques distinctives et les indicateurs de compromission (IoC).

Virus & Vers

Mémorisez ! Virus = besoin d'un fichier hôte et d'une action humaine pour se propager. Ver (Worm) = se propage automatiquement via le réseau, sans fichier hôte. Un ver peut propager un virus.

Type	Propagation	Action	Exemple
Virus de fichier	Fichiers exécutables infectés	S'attache à des .exe, .doc, scripts	ILOVEYOU (2000)
Virus de macro	Documents Office avec macros	Exécuté à l'ouverture du document	Melissa, Emotet initial
Virus de secteur d'amorçage	Clés USB, bootloader	Infecte le MBR/VBR	Stoned, Brain
Virus polymorphe	Idem virus + mute	Change son code à chaque infection — difficile à détecter par signature	Storm Worm
Virus métamorphique	Idem + réécriture totale	Réécrit complètement son code — presque indétectable par signature	Zmist
Ver (Worm)	Réseau, email, vulnérabilités	Propagation autonome, consomme ressources	WannaCry, Conficker, Morris Worm

Trojans, RAT & Backdoors

Trojan (Cheval de Troie) : se présente comme un logiciel légitime mais contient du code malveillant. N'est pas autonome (ne se propage pas seul). L'utilisateur l'installe volontairement en pensant installer quelque chose d'autre.
RAT (Remote Access Trojan) : trojan permettant le contrôle à distance de l'appareil infecté. L'attaquant peut voir l'écran, enregistrer les frappes, accéder aux fichiers, activer la webcam.
Backdoor : porte dérobée permettant un accès non autorisé au système, contournant l'authentification normale. Peut être installé par un trojan ou directement par un attaquant ayant eu accès.
Downloader/Dropper : petit malware dont le rôle est de télécharger et installer d'autres malwares. Souvent la première charge utile d'un phishing.

Ransomware, Spyware & Adware

Ransomware : chiffre les fichiers de la victime et exige une rançon pour la clé de déchiffrement. Double extorsion = chiffrement + menace de publication des données. Ex: WannaCry, REvil, LockBit.
Spyware : surveille et collecte les informations de l'utilisateur (frappes, captures d'écran, navigation) sans consentement.
Keylogger : type de spyware qui enregistre toutes les frappes clavier (mots de passe, données bancaires).
Adware : affiche des publicités non sollicitées. Peut aussi collecter des données de navigation (limites avec spyware).
Scareware : faux logiciel de sécurité qui prétend détecter des virus et demande un paiement pour les supprimer (faux antivirus).
Rootkit : modifie l'OS pour cacher sa présence et celle d'autres malwares. Extrêmement difficile à détecter et supprimer. Peut fonctionner au niveau kernel.

Mémorisez ! Rootkit = furtivité. Il cache les processus, fichiers, connexions réseau. Même un antivirus peut ne pas le voir. Détection : boot depuis un médium externe, analyse en offline, outils spécialisés (GMER, chkrootkit).

Botnets & C2

Botnet : réseau de machines infectées (bots/zombies) contrôlées à distance par un attaquant. Utilisés pour DDoS, spam, minage de cryptomonnaie, credential stuffing.
C2 (Command and Control) : infrastructure que l'attaquant utilise pour communiquer avec les bots. Peut utiliser HTTP, IRC, DNS (DNS tunneling), Tor pour éviter la détection.
Zombie : machine infectée faisant partie d'un botnet.
Mirai Botnet : célèbre botnet ciblant les appareils IoT avec des credentials par défaut. A lancé des DDoS records en 2016.

Quiz — Malwares

1. WannaCry s'est propagé automatiquement à des milliers de systèmes via la vulnérabilité SMB EternalBlue, sans aucune action des utilisateurs. Quel type de malware est WannaCry ?

Virus Trojan Ver (Worm) + Ransomware Spyware

WannaCry est un ransomware-worm : il chiffre les fichiers (ransomware) ET se propage automatiquement via le réseau (worm) via la vulnérabilité EternalBlue dans SMBv1. La propagation sans action humaine = caractéristique d'un ver.

2. Un malware change son code à chaque nouvelle infection pour éviter la détection par les antivirus basés sur les signatures. Quel type de malware est-ce ?

Rootkit Virus polymorphe Trojan Adware

Polymorphe = change son code (mutations) tout en gardant la même fonctionnalité. Chaque copie a une signature différente — les AV basés sur les signatures ne les détectent pas facilement. Contre-mesure : détection comportementale (heuristique).

3. Un employé télécharge une "version gratuite" d'un logiciel de montage vidéo qui, une fois installé, donne à un attaquant le contrôle total de son ordinateur. Quel type de malware est-ce ?

Virus Ver Adware Trojan/RAT

Trojan = se déguise en logiciel légitime (le logiciel de montage) mais contient du code malveillant. Si l'attaquant obtient le contrôle à distance, c'est un RAT (Remote Access Trojan). L'utilisateur l'a installé volontairement — c'est la caractéristique principale du trojan.

4. Un ransomware "double extorsion" est particulièrement dangereux car :

Il chiffre les fichiers ET exfiltre les données — même avec des sauvegardes, la victime est menacée de publication des données Il chiffre les données deux fois avec deux algorithmes différents Il cible deux entreprises simultanément Il demande deux rançons : une pour le déchiffrement, une autre pour supprimer les données

Double extorsion : même si la victime a des sauvegardes (et peut éviter de payer pour le déchiffrement), l'attaquant menace de publier les données sensibles volées. La victime est contrainte de payer même avec des backups parfaits.

5. La caractéristique principale d'un rootkit est :

Sa capacité à se propager automatiquement via le réseau Sa capacité à chiffrer les fichiers de la victime Sa capacité à se cacher dans le système en modifiant l'OS, les journaux et les processus Sa capacité à enregistrer les frappes clavier

Rootkit = furtivité. Il modifie l'OS (kernel ou niveau userland) pour cacher sa présence : processus malveillants invisibles, fichiers cachés, connexions réseau masquées. Un antivirus standard ne peut souvent pas le détecter car le rootkit intercepte les appels système.

6. Un botnet est utilisé pour une attaque DDoS en envoyant des millions de requêtes vers une cible. Comment appelle-t-on les machines infectées qui composent le botnet ?

Drones Zombies Agents Satellites

Les machines infectées dans un botnet sont appelées "bots" ou "zombies". Elles sont contrôlées par un "botmaster" via une infrastructure C2 (Command & Control). La victime de la machine zombie ne sait souvent pas que son ordinateur est utilisé dans des attaques.

7. Un logiciel qui simule des alertes de virus ("Votre PC est infecté ! Achetez notre antivirus maintenant !") sans qu'il y ait de vrai virus est appelé :

Adware Spyware Ransomware Scareware

Scareware = fausse alerte de sécurité pour effrayer l'utilisateur et le pousser à acheter un faux antivirus (souvent lui-même un malware). Différent du ransomware : pas de chiffrement réel. Juste une fausse interface alarmante.

8. Quelle est la différence principale entre un virus et un ver (worm) ?

Un virus nécessite un fichier hôte et une action humaine pour se propager ; un ver se propage seul via le réseau Un vers chiffre les fichiers ; un virus les supprime Un virus utilise des vulnérabilités réseau ; un ver infecte uniquement les fichiers Les deux termes sont synonymes en sécurité informatique

Virus = besoin d'un hôte (fichier exécutable) et d'une action humaine (ouvrir, exécuter) pour se propager. Ver = propagation autonome via le réseau en exploitant des vulnérabilités, sans intervention humaine. WannaCry = worm. Melissa = virus de macro.

9. Un "downloader" (ou dropper) malware est utilisé pour :

Télécharger des données de l'entreprise vers un serveur externe Supprimer des fichiers importants de la victime Télécharger et installer d'autres malwares après la compromission initiale Contourner les systèmes de détection en téléchargeant de vrais fichiers

Un downloader/dropper est généralement la première charge utile d'une campagne (ex: pièce jointe email). Sa seule fonction : télécharger et exécuter des malwares plus complexes (RAT, ransomware, etc.). Petit et discret — facile à faire passer les filtres de messagerie.

10. Les serveurs "Command and Control (C2)" sont utilisés par les attaquants pour :

Stocker les données volées aux victimes Envoyer des instructions aux machines infectées (zombies) et recevoir les données exfiltrées Héberger les kits d'exploit pour les attaques web Masquer les adresses IP des attaquants via des proxies

C2 (Command and Control) = infrastructure de communication entre l'attaquant (botmaster) et les machines infectées (zombies). L'attaquant envoie des commandes (lancer DDoS, exfiltrer des données, installer d'autres malwares). Detection : surveiller les connexions sortantes anormales vers des IPs/domaines inconnus.