Malware fileless : pourquoi votre analyse ne trouve rien, et ce que cela signifie vraiment

Quand une machine se comporte mal et que chaque analyse revient propre, « malware fileless » (sans fichier) est l’expression vers laquelle on se tourne. C’est une catégorie bien réelle, mais elle est employée de façon beaucoup plus vague que la plupart des articles ne l’admettent, et c’est ce flou qu’il faut lever en premier.

Il n’existe pas de définition unique, et Microsoft le dit

C’est le point de départ honnête. La documentation de Microsoft indique elle-même qu’il n’existe aucune définition unique du malware fileless, que le terme est employé largement, et qu’il s’applique parfois à des familles de malwares qui utilisent bel et bien des fichiers pour fonctionner.

Donc quand une page vous explique qu’un malware fileless « ne touche jamais votre disque », elle décrit un cas particulier comme s’il représentait toute la catégorie. Le cadre utile est celui de Microsoft, qui range ces menaces en trois types selon l’empreinte qu’elles laissent.

Type I : aucune activité fichier

C’est le cas qui correspond à l’image populaire, et c’est le plus rare.

L’exemple donné par Microsoft : une machine reçoit des paquets réseau malveillants exploitant la vulnérabilité EternalBlue, ce qui installe la porte dérobée DoublePulsar, laquelle réside uniquement en mémoire noyau. Rien n’est écrit dans un fichier.

La même catégorie couvre le code malveillant dissimulé dans le firmware d’un périphérique, comme un BIOS, dans un périphérique USB via la technique BadUSB, ou dans le firmware d’une carte réseau. Et voici la phrase sur laquelle il vaut la peine de s’arrêter : un tel code survivrait aux redémarrages, aux reformatages de disque et aux réinstallations du système d’exploitation.

Microsoft est tout aussi clair sur les limites. Ces infections sont difficiles à détecter parce que la plupart des antivirus ne peuvent pas inspecter le firmware, la remédiation à ce niveau est réellement compliquée, et ces attaques exigent un haut niveau de sophistication et du matériel spécifique. Elles sont rares et impraticables pour la plupart des attaques. Si vous vous demandez si c’est ce qui est arrivé à votre ordinateur portable, ce n’est presque certainement pas le cas.

Type II : activité fichier indirecte

C’est là que le sujet devient concret, et que le réflexe de suppression commence à échouer.

L’exemple est la porte dérobée Poshspy : les attaquants ont installé une commande PowerShell malveillante à l’intérieur du dépôt WMI et configuré un filtre WMI pour l’exécuter périodiquement. Aucun fichier n’est écrit directement par le malware.

Le dépôt WMI réside bien dans un fichier physique. Mais Microsoft classe malgré tout ce cas comme fileless, et la raison avancée est l’élément important : le dépôt est un conteneur de données multi-usage qui ne peut pas être détecté ni supprimé. Il contient des données système légitimes. Vous ne pouvez pas le mettre en quarantaine, et le supprimer n’est pas une option.

C’est toute la différence entre « caché » et « non supprimable par les moyens habituels ». Un antivirus peut être en parfaite santé et n’avoir malgré tout rien sur quoi agir.

Type III : des fichiers nécessaires, mais inutiles pour vous

L’exemple ici est Kovter, qui crée un gestionnaire de verbe open dans le registre pour une extension de fichier aléatoire. Ouvrir un fichier portant cette extension exécute un script via l’outil légitime mshta.exe, qui lit d’autres données dans une autre clé de registre et charge la charge utile.

Kovter dépose bien des fichiers. Mais Microsoft le considère comme fileless parce que le système de fichiers n’est d’aucune utilité pratique : les fichiers déposés contiennent des données inutiles qui ne permettent pas de vérifier la menace, et les fichiers de registre qui contiennent le vrai contenu sont des conteneurs qui ne peuvent pas être détectés ni supprimés.

Le malware laisse donc des traces, et ces traces ne sont pas exploitables. C’est une situation très différente d’un virus posé dans un dossier, en attente d’être mis en quarantaine.

Pourquoi l’analyse revient propre

Mettre les trois types bout à bout explique le symptôme qui pousse les gens à chercher.

Une analyse classique cherche des fichiers malveillants sur le disque. Le Type I n’en a aucun. Le Type II se cache dans un conteneur légitime multi-usage. Le Type III laisse des fichiers délibérément dénués de sens. Dans les trois cas, un résultat propre est l’issue attendue plutôt qu’une contradiction avec ce que vous observez.

La réponse de Microsoft n’est pas un meilleur analyseur de fichiers. Sa documentation cite AMSI, la surveillance comportementale, l’analyse mémoire et la protection du secteur d’amorçage comme les mécanismes qui attrapent ces menaces, parce que chacun d’eux regarde autre chose qu’un fichier posé sur un disque.

La traduction pratique : si vous soupçonnez quelque chose de scripté, gardez la protection en temps réel de Windows Defender activée plutôt que de la désactiver au profit d’un scanner à la demande. La surveillance comportementale en temps réel est la couche qui s’applique ici, et c’est celle que les gens désactivent le plus souvent.

Quoi faire concrètement

Trois étapes, classées par utilité réelle.

Arrêtez de vous demander « qu’est-ce que je supprime ». Pour les Types II et III, il n’y a peut-être rien à mettre en quarantaine. La question qui compte est ce que l’intrusion a touché, pas quel fichier effacer.

Considérez les identifiants comme la perte. Les menaces scriptées collectent et exfiltrent, très majoritairement. Changer les mots de passe depuis un autre appareil, sain, et invalider les sessions actives réduit le préjudice réel ; supprimer un fichier inutile, non.

Réinstallez si la menace était persistante et que vous ne pouvez pas l’expliquer. Pour une machine qui contenait des données financières ou professionnelles et qui présente un comportement inexplicable, une réinstallation propre est une réponse raisonnable et définitive. Notez tout de même la réserve honnête issue du Type I : du code au niveau firmware survivrait même à cela. C’est rare, mais c’est la raison pour laquelle « réinstaller règle tout » n’est pas tout à fait vrai.

En résumé

Fileless est une étiquette floue, et Microsoft le dit clairement. Seul le Type I ne touche jamais le disque, et il est rare et difficile à mettre en œuvre. Le Type II se cache dans des conteneurs comme le dépôt WMI, qui ne peuvent pas être détectés ni supprimés. Le Type III dépose des fichiers délibérément inutiles pour toute vérification.

Dans les trois cas, une analyse propre vous apprend très peu de chose. Les défenses qui fonctionnent sont comportementales plutôt que basées sur les fichiers, et le dommage qui mérite votre attention est en général constitué des identifiants qui sont partis, pas du fichier qui est resté.

La classification en trois types, l’exemple EternalBlue et DoublePulsar, l’affirmation selon laquelle du code au niveau firmware survivrait aux redémarrages, reformatages de disque et réinstallations d’OS, le cas Poshspy et le dépôt WMI, la technique registre de Kovter, l’évaluation selon laquelle les attaques de Type I sont rares et impraticables, ainsi que la liste AMSI, surveillance comportementale, analyse mémoire et protection du secteur d’amorçage, proviennent tous de la documentation Microsoft Defender for Endpoint sur les menaces fileless, consultée au moment de la rédaction. Les techniques d’attaque évoluent ; vérifiez auprès de la documentation à jour de l’éditeur avant de vous fier à un détail précis. Les liens commerciaux portent l’attribut rel=“sponsored nofollow” ; une commission d’affiliation peut s’appliquer sans surcoût pour vous.