Nettoyage : virus, rançongiciel, intrusion

En quoi consiste le nettoyage d'un ordinateur infecté ?

À retirer ce qui s'exécute sans vous : programmes installés à votre insu, extensions de navigateur, tâches planifiées au démarrage de Windows, outils de prise en main à distance, notifications de sites. Puis à refermer les accès : mots de passe changés depuis un appareil sain, sessions déconnectées, mises à jour appliquées, sauvegarde vérifiée.

Ce qu'on retire, concrètement

Un nettoyage n'est pas « un scan antivirus ». Ce sont six endroits, repris un par un :

1. Les programmes installés récemment, à commencer par ceux qui sont apparus au moment où les symptômes ont commencé.
2. Les extensions du navigateur — Chrome, Firefox, Edge —, le moteur de recherche par défaut, la page d'accueil et les raccourcis modifiés.
3. Les notifications autorisées à des sites inconnus, cause n°1 des publicités qui s'ouvrent seules.
4. Le démarrage de Windows et les tâches planifiées, où se logent les programmes qui veulent survivre à un redémarrage.
5. Les outils de prise en main à distance et les comptes utilisateurs créés récemment.
6. Les logiciels malveillants identifiés par analyse, avec un second outil pour recouper — un antivirus seul ne voit pas tout.

Les documents ne sont pas touchés : photos, fichiers, mails restent en place. Une sauvegarde est faite avant toute opération lourde.

Ce qu'on fait juste après, et qu'on oublie toujours

Une machine propre avec des comptes encore ouverts, c'est un nettoyage pour rien. Quatre gestes, dans l'ordre :

• Changer les mots de passe des comptes sensibles — boîte mail d'abord — depuis un appareil sain, jamais depuis la machine tant qu'elle n'est pas propre.
• Déconnecter les sessions actives sur chaque compte : un intrus qui a volé un cookie de session reste connecté même après un changement de mot de passe.
• Vérifier les règles de transfert de la messagerie et les adresses de récupération : c'est la porte dérobée la plus courante, et la plus discrète.
• Remettre une sauvegarde en place, sur un disque externe ou une clé USB débranchés après usage.

Nettoyer ou réinstaller ?

La réinstallation remet le système aux paramètres par défaut et efface tout ce qui traînait : c'est radical et parfois plus rapide qu'un nettoyage long. Elle s'impose quand la machine a hébergé un rançongiciel, quand l'intrus avait les droits administrateur, ou quand le système est trop abîmé pour être fiable.

Elle ne règle pas tout pour autant : les comptes en ligne restent à sécuriser, et une sauvegarde restaurée telle quelle peut ramener le programme responsable. On sauvegarde les documents, pas les programmes.

Ce qu'on retire, par famille

Les programmes indésirables trouvés sur un ordinateur infecté tombent presque toujours dans l'une de ces cinq familles :

• Logiciels publicitaires — fenêtres qui s'ouvrent seules, moteur de recherche remplacé, extensions ajoutées à Google Chrome ou Mozilla Firefox.
• Chevaux de Troie — arrivés avec un logiciel téléchargé hors des canaux officiels, ils installent le reste à votre insu.
• Logiciels espions — ils lisent les mots de passe enregistrés dans le navigateur et envoient vos informations personnelles ailleurs.
• Enregistreurs de frappe — ils notent ce que vous tapez, y compris votre nom d'utilisateur et vos identifiants bancaires.
• Outils légitimes détournés — prise en main à distance, planificateur de tâches du système d'exploitation, scripts au démarrage.

Le pare-feu et l'antivirus de Microsoft Windows sont remis en service s'ils avaient été désactivés — c'est l'une des premières choses que fait un programme malveillant, et l'un des signes les plus fiables qu'une machine a été infectée.

Après le nettoyage, on redémarre et on revérifie : un programme qui revient après redémarrage n'a pas été retiré, il a été interrompu.

Pourquoi un anti-virus seul ne suffit pas

Un anti-virus compare les fichiers du disque dur à une liste de signatures connues. C'est efficace sur les malwares répandus, et aveugle sur trois cas fréquents :

• Ce qui n'est pas un fichier. Une extension de navigateur, une tâche planifiée, une notification autorisée ou un réglage modifié ne sont pas des programmes : aucun scanner ne les signalera.
• Ce qui se cache dans le système. Un rootkit se dissimule sous Windows au niveau où l'anti-virus lui-même s'exécute ; c'est l'un des rares cas où la suppression ne suffit pas et où la réinstallation s'impose.
• Ce qui est légitime mais détourné — un outil de prise en main installé pendant un appel frauduleux est un logiciel commercial signé : rien à détecter.

D'où la méthode : un anti-virus et un anti-malware pour recouper, puis une revue manuelle des téléchargements récents, des extensions et du démarrage. Et une règle simple : on ne désactive jamais la protection pour « faire tourner » un programme qui le demande — c'est exactement ce que demandent les chevaux de Troie.

D'où viennent les infections, concrètement

Sur les ordinateurs de particuliers que je nettoie, l'origine se répartit presque toujours ainsi :

• Un téléchargement fait hors magasin officiel : version « gratuite » d'un logiciel payant, convertisseur de vidéos, faux lecteur. C'est la porte d'entrée n°1 des chevaux de Troie et des logiciels espions.
• Un pop-up ou une bannière sur un site suspect, qui installe un programme malveillant déguisé en mise à jour.
• Une pièce jointe reçue par mail, souvent depuis le compte piraté d'une connaissance — le spam le plus efficace est celui qui vient d'un contact.
• Un appel frauduleux suivi d'une prise en main, où ce sont les cybercriminels eux-mêmes qui installent ce qu'il faut.

Autrement dit : la cybersécurité d'un particulier tient moins au choix d'un logiciel anti-virus qu'à l'endroit d'où viennent les programmes installés. Un ordinateur infecté l'est presque toujours parce que quelqu'un a cliqué « installer », pas parce qu'un pirate a forcé une porte.

Questions fréquentes

Un antivirus gratuit suffit-il à nettoyer ?

Pour retirer un fichier connu, souvent oui. Il ne dira ni par où c'est entré, ni quelles extensions ont été ajoutées, ni quelles sessions sont encore ouvertes ailleurs — et c'est justement là que le problème revient.

Faut-il éteindre l'ordinateur en attendant ?

Non : coupez le réseau et laissez la machine allumée. Un arrêt brutal pendant un chiffrement peut aggraver la perte de fichiers, et efface des éléments utiles à l'analyse.

Combien de temps ça prend ?

Une désinfection courante tient en une heure à une heure et demie, à distance. Une machine très encombrée ou un rançongiciel demandent une demi-journée, et sont alors chiffrés sur devis après diagnostic.

L'ordre compte

1. Les comptes avant la machine. Tant que votre boîte mail est accessible à quelqu'un d'autre, nettoyer l'ordinateur ne sert à rien : il reprendra tout par la réinitialisation de mot de passe.
2. Sauvegarder avant d'agir. Une copie des données est faite avant toute opération lourde, même quand la machine semble perdue.
3. Retirer ce qui persiste : démarrage, tâches planifiées, services, extensions, profils de navigateur, comptes utilisateurs créés à votre insu.
4. Vérifier après coup. On recontrôle les connexions, les règles de messagerie et le réseau quelques jours plus tard : c'est là qu'on voit si quelque chose est resté.

Le cas du rançongiciel

Selon la famille de rançongiciel, un outil de déchiffrement gratuit existe parfois — le projet européen No More Ransom en recense un certain nombre. Quand il n'y en a pas, la seule voie reste la restauration depuis une sauvegarde saine, et c'est exactement pour ce moment-là qu'on fait des sauvegardes.

Le détail de la marche à suivre est ici : rançongiciel, que faire dans les premières heures.

Deux autres situations reviennent souvent et ont leur fiche : l'arnaque au faux support technique — quand quelqu'un a pris la main sur la machine avec votre accord — et le compte Facebook piraté.

Quand je conseille de réinstaller

Il y a des situations où nettoyer coûte plus cher que repartir propre, et donne un résultat moins sûr : infection ancienne et multiple, droits administrateur compromis, outil d'accès à distance installé depuis longtemps, ou machine déjà « nettoyée » plusieurs fois par des utilitaires trouvés en ligne.

Dans ce cas, je le dis franchement : sauvegarde des données, réinstallation du système, remise en place des logiciels, puis sécurisation. C'est plus long, et c'est la seule façon d'être certain.

Tarif et durée

Le nettoyage d'un virus ou d'un logiciel espion démarre à 39 €, l'intervention à domicile à 49 € la première heure. Une machine chiffrée par un rançongiciel demande une demi-journée : le montant vous est annoncé après le diagnostic, jamais après coup. La tentative de récupération de données démarre à 79 €, et n'est pas facturée si elle ne récupère rien. Le diagnostic qui précède est gratuit. Voir la grille complète.

Une fois la machine saine, il reste le plus important : fermer la porte par laquelle c'est entré.