Le mode sans échec pour supprimer un malware : pourquoi ça aide, et quand ça n'aide pas

À mi-parcours de presque tous les guides de suppression - y compris ceux de ce site - une ligne vous dit de redémarrer en mode sans échec. C’est un bon conseil. C’est aussi presque jamais expliqué, ce qui rend difficile de savoir quoi faire quand cela ne fonctionne pas.

Ce que le mode sans échec change réellement

La description de Microsoft est courte et exacte : « le mode sans échec démarre Windows dans un état de base, avec un jeu limité de fichiers et de pilotes ».

C’est tout le mécanisme. Windows démarre normalement une longue liste de services, de pilotes et de programmes au démarrage. En mode sans échec, il n’en démarre qu’un petit sous-ensemble : de quoi faire tourner le système, guère plus.

La conséquence pour un malware est directe. Une grande partie d’entre eux survit à un redémarrage en s’arrangeant pour être lancée avec Windows : une clé Run du registre, une tâche planifiée, un service, une entrée du dossier de démarrage. En mode sans échec, la plupart de ces chemins de lancement ne sont tout simplement pas traités. Le fichier est toujours sur le disque, mais il ne s’exécute pas - et un processus qui ne s’exécute pas ne peut pas se défendre, ne peut pas recréer les fichiers que vous supprimez, et ne peut pas bloquer votre antivirus.

C’est là tout le bénéfice : pas une suppression, un désarmement.

Le mode sans échec avec prise en charge réseau, et quand le vouloir

Le menu propose deux versions, et la différence compte. Microsoft : « le mode sans échec avec prise en charge réseau ajoute les pilotes et services réseau dont vous aurez besoin pour accéder à Internet et aux autres ordinateurs de votre réseau ».

Le mode sans échec simple est le plus isolé des deux. Choisissez-le quand vous avez déjà l’outil nécessaire sur la machine, et quand vous préférez que rien sur le système ne puisse atteindre le réseau.

Le mode avec prise en charge réseau est celui qu’il vous faut quand l’antivirus doit télécharger ses définitions, ou quand vous n’avez pas apporté l’outil avec vous. La contrepartie est que le réseau devient disponible pour tout ce qui pourrait être présent : c’est le choix le moins prudent.

Pourquoi il ne change parfois rien

Voici la partie que les guides sautent, et c’est la raison de comprendre le mécanisme plutôt que de répéter l’étape.

Toute persistance ne passe pas par les chemins de démarrage que le mode sans échec ignore. Quelque chose chargé par un pilote dont le mode sans échec a encore besoin, ou greffé sur un composant qui démarre toujours, se lancera quand même. Le code au niveau du firmware ou d’un bootkit est indifférent au mode Windows choisi : il s’est exécuté avant Windows.

Certains malwares sont écrits pour y survivre délibérément. Windows tient une liste de ce qui a le droit de démarrer en mode sans échec, et une infection disposant d’assez de privilèges peut s’y ajouter. Quand c’est le cas, le mode sans échec ne vous apporte exactement rien.

Et le mode sans échec ne supprime rien par lui-même. C’est un état dans lequel la suppression est plus facile, pas une étape de suppression. Y entrer puis en ressortir ne change absolument rien.

La lecture honnête est donc : si une analyse en mode sans échec trouve et retire la chose, tant mieux. Si la même détection revient après un nettoyage en mode sans échec, c’est un signal - la persistance se trouve là où le mode sans échec n’atteint pas, et répéter l’étape ne vous mènera pas plus loin.

Quand la machine refuse de quitter le mode sans échec

C’est une situation fréquente et d’apparence alarmante, à la cause banale.

Normalement, « redémarrer votre appareil devrait suffire à quitter le mode sans échec pour revenir au mode normal ». Quand ce n’est pas le cas, la raison habituelle est qu’une case Démarrage sécurisé est restée cochée dans l’onglet Démarrage de msconfig - par un outil, par une séance de dépannage précédente, ou par vous. La décocher et redémarrer résout le problème.

Cela vaut la peine de le savoir avant que cela n’arrive, car une machine qui revient sans cesse en mode sans échec après un nettoyage ressemble exactement à une infection qui ne veut pas mourir, et n’en est généralement pas une.

En résumé

Le mode sans échec démarre Windows avec un jeu limité de fichiers et de pilotes, ce qui empêche la plupart des malwares de s’exécuter et les rend supprimables. Il ne supprime rien de lui-même, il n’atteint pas la persistance qui vit hors des chemins de démarrage habituels, et une infection bien écrite peut s’arranger pour y démarrer quand même. Utilisez-le comme l’état dans lequel on analyse - et lisez une détection qui revient comme le signe que le problème est ailleurs.

La description du mode sans échec, la distinction avec la prise en charge réseau et la procédure de sortie incluant la case Démarrage sécurisé de msconfig proviennent de la documentation de support de Microsoft, consultée à la rédaction. Les liens commerciaux portent l’attribut rel=“sponsored nofollow” ; une commission d’affiliation peut s’appliquer sans surcoût pour vous.