Restauration du système après un virus : ce qu’elle remet en arrière, et ce qu’elle laisse

↑ Ce conseil fait partie du guide : Ordinateur et appareils piratés

La restauration du système enlève-t-elle un virus ?

Non, pas de façon fiable. La restauration du système remet en arrière le registre de Windows, les pilotes et les programmes installés — elle n’analyse rien et ne touche pas à vos documents. Elle répare donc les dégâts de configuration, pas l’infection elle-même. Et très souvent la liste des points est vide, parce que la protection du système est désactivée par défaut sur Windows 10 et 11.

1. Ouvrir rstrui.exe et regarder si un point existe avant la date de l’incident
2. Analyser d’abord, restaurer ensuite — jamais l’inverse
3. Lancer la restauration du système sans couper le courant
4. Changer les mots de passe après, depuis un autre appareil
5. Activer la protection du système pour la prochaine fois

Ce que la restauration du système remet en arrière, exactement

Un point de restauration n’est pas une sauvegarde, et c’est tout le malentendu. Microsoft est clair sur le périmètre : la restauration du système rétablit les fichiers système, les paramètres du registre et les programmes installés, sans toucher aux fichiers personnels. Concrètement, elle agit sur une liste d’extensions que Microsoft publie, et cette liste dit tout : EXE, DLL, SYS, BAT, CMD, LNK, SCR, VBS, MSI, OCX, INF y figurent. DOCX, PDF, JPG et ZIP, non.

La conséquence est précise : un programme indésirable déposé après la date du point porte presque toujours une extension surveillée, donc il part. Le document piégé qui vous l’a amené, lui, reste exactement où il était.

Cette mécanique vient de loin, et son histoire explique ses limites. Sous Windows XP, l’outil ne surveillait qu’une liste de fichiers décrite dans un Filelist.xml, et créait un point toutes les 24 heures. Depuis Windows Vista, il travaille autrement : il enregistre un cliché du volume entier, et la réserve pouvait alors monter jusqu’à 15 % du disque. Le principe n’a pas changé depuis Vista : la restauration du système protège le système d’exploitation, pas vos données. Aucun tutoriel n’en fera un outil de désinfection, parce que ce n’est pas son métier.

Pourquoi la liste des points de restauration est vide

C’est la question qu’on me pose le plus, et la réponse déçoit : il n’y a souvent jamais rien eu. Sous Windows 10 et 11, la protection du système n’est pas active par défaut : tant que personne ne l’a allumée, aucun point n’est créé, y compris avant les mises à jour. Trois autres causes se rencontrent.

Deux chiffres expliquent beaucoup de listes courtes. Sur un disque de plus de 64 Go, Windows réserve jusqu’à 5 % de l’espace total, plafonné à 10 Go : réserve pleine, les plus anciens points sont effacés. Et depuis Windows 7, un point planifié n’est créé que s’il n’y en a eu aucun dans les sept jours précédents.

Les 4 limites de la restauration du système après un piratage

Elles ne sont pas des défauts : l’outil n’a jamais été conçu pour désinfecter. Mais elles expliquent les machines qui « rechutent » trois jours plus tard.

• Vos fichiers restent tels quels — y compris les mauvais. Le document à l’origine de l’infection est toujours dans les Téléchargements, et des fichiers chiffrés restent illisibles. Avant de rouvrir quoi que ce soit, faites analyser le fichier.
• Le navigateur n’est pas remis en arrière. Les profils de Chrome, Edge et Firefox sont des fichiers de données : aucune extension surveillée. Une extension malveillante ou un moteur de recherche détourné survit donc à la restauration du système.
• Les comptes en ligne ne sont pas concernés. Rien de ce qui se joue sur les serveurs ne revient en arrière : la session ouverte par l’intrus, une règle de transfert dans la boîte mail, un appareil autorisé en double authentification. L’ordre est dans la fiche des six gestes de la première heure.
• Ce qui se recharge tout seul peut survivre. Une tâche planifiée, un service, un code chargé avant le noyau : ne comptez pas sur une restauration du système pour les faire disparaître proprement. L’outil adapté est l’analyse Microsoft Defender hors ligne, qui travaille avant le démarrage de Windows — c’est souvent ce qui explique une menace que l’antivirus ne supprime jamais, et c’est là qu’on va fermer les portes d’un accès à distance.

Le piège de l’ordre : restaurer d’abord, changer les mots de passe ensuite

Voici le scénario que je vois revenir, et il coûte une soirée. Quelqu’un découvre l’intrusion et fait bien ce qu’il faut : il change tous ses mots de passe, dont celui de sa session Windows. Puis il lance une restauration du système vers une date d’avant. Et l’écran d’authentification refuse le mot de passe qu’il vient tout juste de choisir.

Ce n’est pas une panne. La fenêtre fait confirmer un compte dans l’état où le système se trouvait, et le mot de passe qu’elle peut attendre est celui de la date du point, pas celui d’aujourd’hui. Deux conséquences pratiques :

1. Si vous devez restaurer, faites-le avant de changer le mot de passe de la session locale. Ceux des comptes en ligne se changent tout de suite, depuis un autre appareil : ils ne dépendent pas de cette machine.
2. Si le changement est déjà fait, gardez l’ancien mot de passe sous la main : c’est celui qui peut débloquer l’écran.

Si la machine est chiffrée, prévoyez aussi la clé de récupération BitLocker à 48 chiffres : l’environnement de récupération la réclame, et sans elle on ne redémarre pas. Sur un compte dont le mot de passe est perdu, la reprise en main commence par la boîte mail de secours.

La faire proprement, en 6 étapes

Les tutoriels s’arrêtent le plus souvent à l’ouverture de la fenêtre. Voici la suite, celle qui compte quand la machine a été infectée.

1. Ouvrir l’utilitaire. Windows + R, tapez rstrui.exe, validez — un clic droit sur le bouton Démarrer donne aussi accès à Exécuter. Sans ligne de commande : ouvrez le menu Démarrer, tapez « point de restauration », cliquez sur Créer un point de restauration — vous arrivez sur l’onglet Protection du système, dont le bouton Restauration du système lance le même assistant.
2. Choisir un point antérieur à l’incident. Cliquez sur Suivant, puis cochez Afficher d’autres points de restauration, en bas à gauche : la liste affichée par défaut est tronquée, et c’est souvent là que se cache le seul point utile.
3. Cliquez sur « Rechercher les programmes concernés ». Personne ne le fait, et c’est le bouton le plus utile : il liste ce qui sera désinstallé et réinstallé. Si un programme dont vous avez besoin y figure, prévoyez son installeur.
4. Lancer, puis ne plus toucher à rien. Comptez un quart d’heure à une heure. L’écran Restauration du Registre Windows peut sembler figé : c’est la phase sensible, on ne coupe pas le courant. Sur un portable, chargeur branché.
5. Au redémarrage, lire le rapport. En cas d’échec, l’opération est annulée et le système revient où il était : Windows crée un point juste avant chaque restauration, exprès. Le rapport s’affiche au premier démarrage ; fermé trop vite, il se rouvre manuellement en relançant l’utilitaire.
6. Puis seulement : analyser, et changer les mots de passe. Une analyse complète, au besoin depuis le mode sans échec, et une analyse hors ligne si quelque chose résiste.

Quand Windows ne démarre plus : la clé USB, et les faux amis

Si la machine ne va plus jusqu’au bureau, l’assistant reste atteignable, mais autrement. La route fiable passe par une clé USB d’installation de Windows, fabriquée depuis un autre ordinateur avec l’outil de création de média de Microsoft. On démarre dessus — touche de boot du constructeur, F12, F9 ou Échap selon la marque — puis on refuse l’installation : en bas à gauche du premier écran, cliquez sur Réparer l’ordinateur, puis Dépannage → Restauration du système. Les points stockés sur le disque dur de la machine se lisent de là, sans que Windows ait besoin de démarrer. Si la clé USB n’apparaît pas au démarrage, c’est l’ordre de boot qu’il faut corriger dans le firmware UEFI, et non la clé qu’il faut refaire.

Trois boutons se confondent avec elle, et ils ne font pas du tout la même chose.

La troisième ligne est celle qui fait des dégâts. La partition de récupération posée par le constructeur ne contient aucun point de restauration : elle contient une image d’usine. L’utiliser en croyant « revenir à hier » efface tout, et il est alors trop tard pour sauvegarder quoi que ce soit. Et si l’environnement de récupération refuse carrément de s’ouvrir, méfiance : le désactiver fait partie du mode opératoire décrit par MITRE ATT&CK, avec une commande comme bcdedit /set {default} recoveryenabled no.

L’activer maintenant, pour la prochaine fois

Si la liste était vide, le travail utile est là. Windows + R, systempropertiesprotection : la fenêtre Protection du système s’ouvre directement sur le bon onglet — par le menu Démarrer, tapez simplement « protection ». Sélectionnez le disque dur C:, cliquez sur Configurer, choisissez Activer la protection du système, et poussez le curseur Utilisation maximale vers 5 à 10 %. Validez, puis cliquez sur Créer et nommez ce premier point « machine propre ».

La protection active ouvre une porte que presque personne n’utilise : faites un clic droit sur un dossier, Propriétés, onglet Versions précédentes. Windows y affiche les copies de ce dossier prises au moment de chaque point de restauration, et on peut en extraire un fichier manuellement, sans restaurer la machine entière. Attention au malentendu le plus courant : cet onglet ne ramène pas des fichiers supprimés hier si aucun point n’existait avant. Pour ça, il faut de vraies sauvegardes — l’Historique des fichiers de Windows, ou mieux, sauvegarder sur un disque qu’on débranche ensuite.

La protection se règle disque par disque : l’activer sur C: ne protège pas un second disque interne, et un disque externe n’est pas concerné du tout. Aucun point de restauration ne remplace une copie de vos documents : un NAS branché en permanence se fait chiffrer avec le reste, et quand des fichiers manquent, les cinq endroits à fouiller ne sont pas les points de restauration.

Enfin, une restauration du système qui échoue trois fois de suite ne se répète pas une quatrième : c’est le signe qu’il faut changer de méthode — savoir quand une réinstallation de Windows devient le chemin le plus court est détaillé ailleurs. Et si l’accès aux fichiers est refusé après coup, quatre tests tranchent avant de forcer les droits.

Quand s’arrêter et appeler

Trois situations où un appel vaut mieux qu’une nouvelle tentative : la liste vidée le jour même de l’incident, l’écran d’authentification qui refuse tous les mots de passe connus, et la menace qui revient après chaque restauration.

Le diagnostic est gratuit, 15 minutes au téléphone : vous me décrivez ce que montre la liste des points, et on décide. Si du travail est nécessaire, l’assistance à distance débute à 19 € la demi-heure et le nettoyage d’une machine infectée à 39 €. Déroulé et tarifs affichés d’avance, ou décrivez votre situation par écrit.

Questions fréquentes

C’est quoi un point de restauration, exactement ?

Une photographie de l’état du système : le registre de Windows, les pilotes, les programmes installés et les fichiers dont l’extension figure sur la liste surveillée par Microsoft. Ce n’est pas une sauvegarde : vos documents n’y sont pas, et un point ne se copie pas sur un disque externe.

Combien de temps prend une restauration du système ?

Comptez un quart d’heure à une heure selon le disque et le nombre de programmes concernés. L’écran « Restauration du Registre Windows » peut sembler figé pendant de longues minutes : c’est normal, et c’est le moment où il ne faut surtout pas couper le courant.

Où sont stockés les points de restauration ?

Dans un dossier caché et protégé du disque concerné, System Volume Information, que l’explorateur refuse d’ouvrir même en administrateur. Formater le disque les efface, et un disque externe non protégé par la protection du système n’en contient aucun.

La restauration du système supprime-t-elle mes fichiers personnels ?

Non : Microsoft indique qu’elle annule les modifications du système sans toucher aux fichiers personnels. En revanche les programmes installés après la date du point disparaissent et devront être réinstallés, et les mises à jour de Windows posées depuis sont retirées.

Peut-on annuler une restauration du système ?

Oui. Windows crée automatiquement un point avant chaque restauration, ce qui permet de faire marche arrière. L’option s’appelle « Annuler la restauration du système » et se trouve dans l’outil lui-même, ou dans l’environnement de récupération si la machine ne redémarre plus.

La restauration du système peut-elle récupérer des fichiers supprimés ?

Non, ce n’est pas son rôle, et c’est la confusion la plus fréquente : comme elle ne touche pas aux fichiers personnels, elle n’en ramène aucun. Le seul recours voisin est l’onglet Versions précédentes d’un dossier, qui lit les points existants — s’il n’y en avait aucun avant la suppression, il n’affiche rien. Les fichiers supprimés relèvent de la Corbeille et des sauvegardes.

À lire aussi : la menace que Defender ne supprime pas · le mode sans échec de Windows 11 · réinstaller Windows après un piratage.