L'Antivirus : principe et fonctionnement

Les propos d'un responsable d'un célèbre Antivirus qui m'ont fait bondir récemment (Voir article ICI) m'ont rappelé à quel point le mot Antivirus était passé dans le langage courant sans que la plupart des internautes ne sache vraiment comment il fonctionne exactement et pourquoi il restait plus que jamais indispensable.

Commençons par le b.a.-ba :

Un antivirus est un programme dont le rôle est de détecter les virus présents sur votre ordinateur.

Cette définition est succincte.

Dans l'esprit de nombreux utilisateurs un Antivirus détecte et supprime les virus tout simplement…mais pas seulement.

Ce n'est pas aussi simple que cela. Lorsque il trouve un programme suspect, il a plusieurs vérifications et / ou décisions à prendre :

• Il doit d'abord s'assurer que c'est un vrai Virus.
• Il doit vérifier que ses agissements sont bien anormaux et préjudiciables à l'intégrité du Système.
• S'il s'avère que c'est bien un programme nuisible, il doit décider quelle est la meilleure action à envisager en fonction des dégâts causés.
• Si le code malveillant détecté est complexe, semble très dangereux et / ou inconnu et qu'il ne sait pas comment l'éradiquer, il le déplace dans une zone de Quarantaine.

Dire qu'un logiciel Antivirus ne sert qu'à analyser des fichiers est donc réducteur. Il surveille aussi en permanence, en tâche de fond, toutes les activités de l'ordinateur, en essayant de minimiser l'impact de cette surveillance sur les performances du Système. Le but étant de limiter la gêne occasionnée pour l'utilisateur tout en gardant la possibilité de prendre des décisions importantes voire vitales en cas de besoin.

Voyons maintenant en détail quels sont les outils dont dispose un bon Antivirus.

•  La détection par la signature

C'est la méthode la plus ancienne. Il faut savoir que chaque Virus a une signature unique.

Lorsqu'il rencontre un problème, l'Antivirus interroge sa base de données de référence pour savoir à qui il a affaire et prendre les mesures qui s'imposent.

Votre logiciel de protection doit donc être mise à jour régulièrement pour être informé des nouvelles menaces qui apparaissent chaque jour sur le Internet et ainsi maintenir son efficacité.

-> Le point faible de cette méthode est que certains virus changent justement de signature lorsque ils se copient, on les appelle les Polymorphes.

Pour information : certains Antivirus gratuits ne peuvent être mise à jour que manuellement par l'utilisateur (mais ils sont de plus en plus rares) ou se mettent à jour automatiquement, mais une seule et unique fois par 24 heures, quand d'autres payants le font toutes les deux heures…

• La détection par le comportement

- Cela consiste à intervenir quand un programme a un comportement inhabituel ou non approprié.

Exemples au hasard : lorsqu'il y a une tentative de télécharger ou d'envoyer des données en mode ' silencieux 'et donc sans l'accord du propriétaire, ou encore lorsque il lance des duplications anarchiques en volume ( certains virus paralysent votre système en remplissant complètement le disque dur).

-> Si cela est possible, il répare le fichier et / ou le programme qui en est à l'origine sinon, il le supprimera.

( Suivant votre Antivirus et les réglages que vous aurez paramétrés, il prendra seul une décision ou vous proposera plusieurs possibilités en vous indiquant selon lui la plus adaptée).

-> Il a une autre arme disponible efficace : la mise en quarantaine.

Le / les fichiers sont placés dans un dossier isolé et sûr sur le disque afin que le programme malveillant ne puisse agir. Au fur et à mesure des mises à jour de sa base virale, il pourra éventuellement le réparer / supprimé et même parfois décidé que le fichier incriminé n'est pas dangereux et le faire sortir de cette quarantaine.

 A noter que vous avez toujours la possibilité de décider d'enlever un fichier de la zone de quarantaine, mais c'est à vos risques et périls, vous devez être sûr de vous !

-> Les programmes de sécurité les plus récents utilisent le Cloud en temps réel.

Le principe :

En cas de détection d'un comportement suspect qu'il ne connait pas, il envoie alors immédiatement, via le réseau internet, les informations collectées chez l’Éditeur de l'Antivirus pour analyse.

L'intérêt est que cet acte en apparence isolé a une résonance communautaire exponentielle : si dans les heures qui suivent des milliers d’ordinateurs de par le monde remontent le même problème, les équipes de surveillance vont mettre au point un Vaccin le plus rapidement possible qui sera donc téléchargé durant l'une des mises à jour de la base virale, efficace, non ?

• La détection par le contrôle de l'intégrité

Elle consiste à vérifier si les fichiers n'ont pas été modifiés depuis leur installation, s'ils sont bien dans leur version originale ( vérification des date / heure et taille entre autres).

-> Le point faible : les virus les plus récents ne modifient pas les dates d'accès des fichiers, ou les rétablissent après avoir les avoir infectés.

• La détection par l'analyse heuristique

Sous cette dénomination barbare se cache la méthode la plus puissante et la plus récente qui est mise en avant par les meilleurs antivirus.

Elle permet de détecter des virus inconnus.

Mais comment est-ce possible ?

C'est en fait tout simple : l'Antivirus simule l'exécution d'un programme inconnu dans une zone sûre de votre disque dur pour voir ce qu'il pourrait se passer.

Le point faible : le ' zèle ' de ces vérifications, provoque parfois de fausses alertes, on appelle cela des faux positifs.

Vous l'aurez compris, toutes ces méthodes ne seront efficaces qu'utilisées conjointement.

-> Je vous propose quelques conseils utiles pour terminer cet article :

• La prévention. 

Quand un antivirus détecte des fichiers infectés, cela veut dire que le problème est déjà déclaré et sérieux.

Cela se produit en général quand l'utilisateur a un logiciel antivirus basique, de qualité insuffisante ou quand l'utilisateur n'avait pas de protection sur son ordinateur avant que le virus ne se manifeste et qu'il en a donc installé une après l'infection.

Le programme de sécurité nouvellement mis en service ne peut que constater les dégâts et prendre les décisions les plus adaptées.

-> En clair : installer un antivirus efficace sur un ordinateur que l'on vient d'acheter ou qui est sain permettra d'anticiper les infections et de les bloquer avant même qu'elles aient le temps de se déclarer.

• Testez son Antivirus.

Si à la lecture de cet article vous vous demandez si votre logiciel de sécurité est de bonne qualité, je vous conseille de lancer un test basique appelé Eicar, lisez cet article pour ce faire.

• Enfin, un conseil de bon sens.

Ce n'est manifestement pas évident pour tout le monde, mais il ne faut jamais laisser deux antivirus sur un même ordinateur sous peine d'obtenir des résultats catastrophiques, voir l'article détaillé ICI.

Si vous voulez en essayer un autre que celui que vous utilisez habituellement, vous devez d'abord le désinstaller, redémarrer votre ordinateur puis installer le nouveau.

• En savoir plus sur les Virus.

Si vous souhaitez connaitre les principaux types de Virus qui existent, je vous propose de lire cet article.

Je conclurai par une évidence : on ne le répétera jamais assez, le maillon faible de votre protection c'est…Vous !

C'est bien de mettre un garde devant votre porte, mais si vous lui dites de laisser entrer n'importe qui c'est à vos risques et périls !

C'est comme ce qui a été statistiquement démontré en ce qui concerne l'accidentologie dans le secteur de l'Automobile :

L'apparition de l'Airbag a engendré une hausse (toute proportion gardée !) de certains types d'accidents liée au fait que certains conducteurs se sentant mieux protégés ont pris et prennent encore des risques qu'ils ne prenaient jamais auparavant !

A méditer…

Christophe.

Edit du 07/06/2019, je vous propose une petite vidéo récapitulative :