Malware sans fichier

Fileless malware : du code malveillant qui évite de s’écrire sur le disque

Un malware sans fichier s’exécute en mémoire ou se loge dans des recoins du système qui ne ressemblent pas à des programmes, comme le registre de Windows, si bien qu’un antivirus qui examine le disque ne trouve rien à analyser.

Une expression plus large qu’elle n’en a l’air

Microsoft, qui y consacre une page de référence, reconnaît qu’il n’en existe pas de définition unique : certaines familles qualifiées de « sans fichier » utilisent bel et bien des fichiers. L’éditeur les classe donc selon la trace qu’elles laissent sur la machine, en trois types qui vont de l’absence totale de fichier au fichier présent mais inutilisable pour la détection.

Trois cas réels

Le premier type ne touche jamais le disque : en 2017, la faille EternalBlue a permis d’installer la porte dérobée DoublePulsar directement dans la mémoire du noyau de Windows. Le deuxième passe par une base de données du système : la porte dérobée Poshspy glissait une commande PowerShell dans le dépôt WMI, qui la relançait à intervalles réguliers. Le troisième garde des fichiers, mais sans intérêt : Kovter rangeait son code dans le registre et le faisait exécuter par mshta, un outil livré avec Windows.

Le cousin du living off the land

Les deux notions se recoupent souvent, puisque le code caché en mémoire se sert volontiers de PowerShell ou de mshta. Elles ne disent pourtant pas la même chose : le living off the land décrit les outils employés, le sans-fichier décrit l’endroit où l’attaque se cache.

Comment on le repère

Puisqu’il n’y a rien à examiner sur le disque, la détection regarde ce qui s’exécute : Microsoft cite l’inspection des scripts au moment où ils se lancent, la surveillance du comportement des programmes et l’analyse de la mémoire. C’est le terrain des EDR, et ce qui explique qu’un antivirus limité aux fichiers ne suffise plus.

Mise à jour : 17 octobre 2026