Avant d’analyser un binaire suspect, il faut savoir le nommer : la famille à laquelle il appartient conditionne déjà les hypothèses qu’on formera sur son comportement. Ce classement n’a rien d’académique — reconnaître un ver plutôt qu’un cheval de Troie oriente immédiatement l’analyse vers le réseau plutôt que vers la persistance locale.
Les familles historiques
Virus
Programme malveillant qui infecte des fichiers ou programmes légitimes et se propage lorsqu’ils sont exécutés.
Un virus exige l’interaction de l’utilisateur pour se propager ; il peut être résident (chargé en mémoire) ou non. Ses variantes les plus retorses jouent sur l’apparence : le virus polymorphe modifie sa forme à chaque copie pour échapper aux signatures, tout en exécutant en mémoire un code fonctionnellement identique ; le virus métamorphe va plus loin en se réécrivant entièrement à chaque infection. CIH (le « virus Tchernobyl ») en est un exemple marquant, capable d’endommager le BIOS lui-même.
Ver
Malware autonome, capable de se propager sans intervention humaine.
Contrairement au virus, le ver ne s’attache à rien : il se propage de lui-même via le réseau ou la messagerie, en exploitant des vulnérabilités système ou réseau — EternalBlue et WannaCry en sont l’illustration la plus retentissante.
Cheval de Troie
Logiciel déguisé en programme légitime, mais porteur d’une charge malveillante.
Il ne se réplique pas, mais se fait passer pour autre chose. On distingue le trojan bancaire, qui vole des identifiants financiers, du RAT (Remote Access Trojan), qui offre à l’attaquant un contrôle à distance complet — njRAT et Dridex en sont des représentants connus.
Rançongiciel
Malware qui bloque l’accès à un système ou chiffre des données, en exigeant une rançon pour leur restitution.
On distingue le locker, qui verrouille l’accès sans toucher aux données, du crypto, qui les chiffre effectivement — ce dernier étant, de loin, le plus destructeur en l’absence de sauvegarde.
Les formes avancées
Au-delà de ces familles classiques, une seconde génération de malwares cherche moins à infecter qu’à se dérober.
Les rootkits sont conçus pour se nicher au plus profond du système, rendant leur détection ardue. On en distingue trois strates : les rootkits kernel-mode, injectés dans le noyau lui-même ; les rootkits user-mode, qui manipulent des processus utilisateurs ou des bibliothèques (par exemple via LD_PRELOAD) ; et les bootkits, qui s’installent dans le processus de démarrage, avant même le système d’exploitation. Les rootkits attribués au groupe Equation en restent une référence.
Le malware sans fichier (fileless) ne réside qu’en mémoire vive et n’écrit rien sur le disque, s’appuyant sur des outils natifs du système — PowerShell, WMI — pour agir sans jamais laisser de trace persistante. Sa détection statique classique en devient, par construction, inopérante.
Les Advanced Persistent Threats (APT) désignent des campagnes menées par des groupes étatiques ou lourdement financés, contre des cibles précises, selon un cycle de vie structuré — reconnaissance, intrusion, latéralisation, exfiltration — dont chaque étape mériterait, à elle seule, une étude détaillée.
Enfin, les malwares hyperviseurs (attaques de type Blue Pill) exploitent la couche de virtualisation elle-même pour manipuler les systèmes invités : contrôle total, et furtivité maximale puisqu’ils s’exécutent sous l’OS visible, hors de portée de ce que ce dernier peut observer de lui-même.
Espionnage et confidentialité
Une autre catégorie vise moins la destruction que la collecte : spyware, adware, numéroteurs, canulars, outils de piratage détournés, bundleware, grayware. Leur nuisance est souvent moins spectaculaire, mais leur prévalence — notamment sur les postes grand public — en fait un terrain d’étude à part entière.
Un terrain en expansion
Le paysage continue de se déplacer vers de nouveaux vecteurs et de nouvelles sophistications que je n’ai fait, à ce stade, qu’effleurer : les malwares ciblant l’IoT, les infrastructures cloud ou les environnements industriels ; les techniques de furtivité par stéganographie ou par fichiers polyglottes ; et des formes hybrides émergentes — rançongiciels combinés à de l’exfiltration, cryptojackers sophistiqués, jusqu’aux malwares assistés par IA. Autant de perimètres que la méthodologie d’analyse permet d’aborder, même sans connaître à l’avance la famille exacte à laquelle on a affaire.