Les fabricants d’antivirus créent-ils vraiment des virus ? La vérité

Les fabricants d’antivirus créent-ils vraiment les virus qu’ils combattent ? Cette question revient régulièrement sur Internet et alimente une théorie selon laquelle certains éditeurs pourraient créer eux-mêmes des logiciels malveillants afin de provoquer des infections et de vendre davantage de solutions de sécurité. Mais que vaut réellement cette affirmation ? Découvrez ce que l’on sait du fonctionnement des laboratoires de cybersécurité et pourquoi les éditeurs d’antivirus ont avant tout intérêt à détecter, analyser et bloquer les menaces.

À retenir

• Les éditeurs d’antivirus ont très peu d’intérêt économique à fabriquer eux-mêmes les milliers de menaces qu’ils doivent combattre.
• Les laboratoires de cybersécurité analysent parfois des malwares dans des environnements isolés afin de comprendre leur fonctionnement.
• Créer un échantillon de test ou reproduire un comportement malveillant pour la recherche ne signifie pas créer une infection destinée au public.
• Les cybercriminels ont de nombreuses motivations financières : rançongiciels, vol de données, fraude, botnets, espionnage et extorsion.
• Les faux antivirus, également appelés rogues, ont contribué à entretenir cette confusion en imitant le fonctionnement des véritables logiciels de sécurité.
• Une détection antivirus n'est pas une preuve que l'éditeur a créé la menace détectée.

Sommaire

1. D'où vient l'idée que les antivirus créent des virus ?
2. Comment fonctionne réellement un éditeur d'antivirus ?
3. Pourquoi les laboratoires antivirus analysent-ils des malwares ?
4. Créer un malware et analyser un malware sont deux choses différentes
5. Qui crée réellement les logiciels malveillants ?
6. Pourquoi les cybercriminels créent-ils des virus ?
7. Les botnets : une véritable activité criminelle
8. Rançongiciels, vol de données et extorsion
9. Les faux antivirus ont-ils alimenté la confusion ?
10. Pourquoi un antivirus peut-il détecter autant de menaces ?
11. Pourquoi cette théorie paraît-elle crédible ?
12. Existe-t-il des preuves que les éditeurs créent des virus ?
13. Comment se protéger réellement contre les malwares ?
14. FAQ

D'où vient l'idée que les antivirus créent des virus ?

L'affirmation « les fabricants d'antivirus créent les virus pour vendre leurs antivirus » circule depuis de nombreuses années. Elle part généralement d'une observation réelle : les éditeurs de sécurité connaissent très bien les malwares.

Ils savent comment fonctionnent les chevaux de Troie, les ransomwares, les logiciels espions, les adwares, les voleurs d'informations ou encore les botnets. Ils publient également des analyses techniques extrêmement détaillées sur certaines menaces.

Cette connaissance peut donner l'impression qu'ils seraient forcément à l'origine des logiciels malveillants qu'ils décrivent.

Mais cette conclusion est erronée.

Un laboratoire antivirus doit précisément connaître son adversaire. Pour développer une protection efficace, les chercheurs doivent être capables de déterminer :

• comment un malware arrive sur un ordinateur ;
• quels fichiers il crée ou modifie ;
• quels processus il lance ;
• quelles clés du registre il utilise éventuellement ;
• quels serveurs il contacte ;
• quelles données il tente de récupérer ;
• comment il se maintient après un redémarrage ;
• comment il tente d'échapper à la détection ;
• et comment empêcher son exécution.

Cette activité ressemble donc parfois à celle d'un développeur de malware, alors que l'objectif est exactement inverse : comprendre une attaque pour pouvoir la neutraliser.

Comment fonctionne réellement un éditeur d'antivirus ?

Un éditeur de cybersécurité ne se contente pas de distribuer un programme qui recherche quelques fichiers suspects. Les solutions modernes utilisent généralement plusieurs mécanismes complémentaires.

Analyse des fichiers

Les logiciels de sécurité peuvent examiner les fichiers présents sur un ordinateur et rechercher des caractéristiques associées à des menaces connues.

Analyse comportementale

Un programme peut également être considéré comme suspect en fonction de ce qu'il tente de faire. Un logiciel qui cherche à modifier des centaines de fichiers personnels, à désactiver des protections ou à communiquer avec une infrastructure suspecte peut déclencher une alerte même si son fichier n'était pas auparavant connu.

Heuristique et détection générique

Les technologies modernes ne reposent pas uniquement sur une signature correspondant à un fichier précis. Elles peuvent rechercher des caractéristiques communes à plusieurs variantes de malwares.

Réputation et analyse dans le cloud

Certaines solutions utilisent également des services de réputation ou d'analyse à distance afin d'évaluer un fichier ou une activité inhabituelle.

C'est notamment pour cette raison qu'il est trompeur de comparer un antivirus moderne à un simple catalogue contenant une liste fixe de virus.

Pourquoi les éditeurs doivent-ils connaître les malwares ?

Imaginez un médecin qui doit traiter une maladie infectieuse sans jamais étudier les agents responsables de cette maladie. Il serait difficile de développer un traitement efficace.

La logique est similaire en cybersécurité.

Les chercheurs doivent récupérer des échantillons, les examiner, les exécuter dans des environnements contrôlés et observer leurs effets. Ils peuvent ainsi déterminer comment une menace fonctionne et concevoir des mécanismes de détection.

Pour un utilisateur, le résultat visible est simplement une notification indiquant qu'un fichier a été bloqué. Derrière cette alerte peuvent cependant se trouver des heures de recherche et d'analyse réalisées par des équipes spécialisées.

Pour mieux comprendre les différentes familles de menaces, consultez également notre guide sur les 6 types de virus informatiques les plus dangereux.

Pourquoi les laboratoires antivirus analysent-ils des malwares ?

Un laboratoire de sécurité peut avoir besoin de manipuler un malware pour plusieurs raisons parfaitement légitimes.

Cette activité peut également nécessiter la création de programmes de test ou de preuves de concept. Là encore, un outil de recherche utilisé dans un laboratoire isolé n'est pas équivalent à un malware diffusé contre le public.

Créer un malware et analyser un malware sont deux choses différentes

C'est probablement l'une des principales sources de confusion.

Un chercheur en sécurité peut écrire du code capable de reproduire un comportement malveillant dans le cadre d'un test. Il peut par exemple créer une preuve de concept permettant de démontrer qu'une vulnérabilité peut être exploitée.

Cela ne signifie pas que ce chercheur a créé le malware qui circule réellement chez les victimes.

La distinction est essentielle :

• Recherche : comprendre une technique ou démontrer une vulnérabilité.
• Analyse : examiner un logiciel malveillant existant.
• Détection : reconnaître une menace.
• Protection : empêcher son exécution ou limiter ses conséquences.
• Création criminelle : développer un malware dans le but de compromettre des systèmes, voler des données, extorquer des victimes ou générer des revenus illégaux.

Confondre ces activités revient à considérer qu'un laboratoire d'analyses médicales crée toutes les maladies qu'il étudie.

Qui crée réellement les logiciels malveillants ?

Les logiciels malveillants sont développés et diffusés par différents acteurs, avec des motivations pouvant être financières, criminelles, politiques, liées à l’espionnage ou au sabotage.

Le paysage est aujourd'hui très diversifié. Il ne s'agit plus uniquement d'un individu isolé écrivant un virus par curiosité informatique.

On retrouve notamment :

• des cybercriminels recherchant un gain financier ;
• des groupes spécialisés dans le vol d'informations ;
• des opérateurs de ransomwares ;
• des réseaux exploitant des ordinateurs compromis ;
• des groupes pratiquant l'extorsion ;
• des campagnes de phishing utilisant des logiciels malveillants ;
• des acteurs spécialisés dans la distribution de malwares ;
• des groupes pratiquant l'espionnage informatique.

Les techniques évoluent également. Les cybercriminels peuvent utiliser des infrastructures louées, des services clandestins et des modèles de Malware-as-a-Service, ce qui facilite la diffusion de certaines menaces sans nécessiter la maîtrise de toute la chaîne technique.

Pour comprendre comment des ordinateurs compromis peuvent être regroupés et contrôlés à distance, consultez notre article consacré aux botnets et aux PC zombies.

Pourquoi les cybercriminels créent-ils des virus ?

La motivation financière est devenue extrêmement importante dans la cybercriminalité.

Un malware peut servir à générer des revenus de différentes façons :

Les rançongiciels illustrent particulièrement bien cette évolution : le malware devient un véritable outil d'extorsion.

Les botnets : une véritable activité criminelle

Un botnet est un ensemble d'appareils compromis pouvant être contrôlés à distance par un opérateur malveillant.

Une fois infecté, un ordinateur peut être utilisé à l'insu de son propriétaire pour participer à certaines activités malveillantes.

Selon la campagne et les capacités du malware, une infrastructure de machines compromises peut notamment être utilisée pour :

• envoyer du spam ;
• participer à des attaques DDoS ;
• diffuser d'autres malwares ;
• servir de relais à certaines communications ;
• effectuer des opérations automatisées ;
• contribuer à des campagnes de fraude ou de phishing.

Les attaques par déni de service sont expliquées plus en détail dans notre dossier sur les attaques DDoS et DoS.

Rançongiciels, vol de données et extorsion

Les ransomwares constituent un autre exemple qui montre pourquoi la création de logiciels malveillants peut être extrêmement rentable pour les criminels.

Un ransomware peut chiffrer des fichiers, perturber l'activité d'une organisation et afficher une demande de rançon. Certaines campagnes associent également le chiffrement à une menace de publication des données volées.

Cette économie criminelle est très différente du modèle économique d'un éditeur antivirus. Le cybercriminel cherche à tirer directement profit de l'infection, tandis que l'éditeur de sécurité doit protéger ses utilisateurs contre ce type de menace.

Pour une autre famille de malwares particulièrement connue, consultez également notre dossier consacré à Zeus et CryptoLocker.

Les faux antivirus ont-ils alimenté la confusion ?

Oui, et c'est probablement l'un des éléments les plus importants pour comprendre cette vieille rumeur.

Des cybercriminels ont créé de faux logiciels de sécurité qui imitaient l'apparence ou le vocabulaire des véritables antivirus.

Ces programmes pouvaient afficher de fausses alertes, prétendre avoir découvert de nombreuses infections et pousser l'utilisateur à acheter une version payante.

Le principe était particulièrement trompeur : le logiciel prétendait protéger l'utilisateur alors qu'il constituait lui-même la menace.

Ces programmes sont souvent qualifiés de rogues ou de faux antivirus.

PC Sans Virus possède un dossier complet consacré à l'évolution des logiciels escrocs de sécurité Rogue.

Il ne faut donc pas confondre :

• un véritable antivirus, conçu pour détecter et bloquer des menaces ;
• un faux antivirus, conçu pour tromper l'utilisateur et lui faire croire qu'il est infecté.

Pourquoi un antivirus peut-il détecter autant de menaces ?

Le nombre important de détections peut également donner une impression trompeuse.

Une détection antivirus ne correspond pas forcément à un malware entièrement nouveau écrit de toutes pièces.

Les technologies de sécurité peuvent reconnaître :

• des variantes d'une même famille de malware ;
• des comportements suspects ;
• des composants communs à plusieurs menaces ;
• des fichiers modifiés ou obfusqués ;
• des caractéristiques permettant une détection générique ;
• des infrastructures ou réputations associées à des activités malveillantes.

Un même programme malveillant peut également exister sous de nombreuses variantes. Les cybercriminels modifient régulièrement leurs fichiers afin de tenter d'échapper aux systèmes de détection.

Les éditeurs doivent donc constamment améliorer leurs mécanismes de protection.

Si vous pensez que votre propre ordinateur est infecté, vous pouvez commencer par consulter notre guide pour vérifier si votre PC a un virus.

Pourquoi cette théorie paraît-elle crédible ?

Une théorie peut sembler plausible sans être vraie. Dans le cas des antivirus, plusieurs éléments peuvent entretenir la confusion.

Les antivirus parlent constamment de nouvelles menaces

Les utilisateurs voient régulièrement apparaître des alertes, des articles et des mises à jour de sécurité. Cela peut donner l'impression que l'industrie doit constamment « inventer » de nouvelles menaces.

Les laboratoires possèdent des échantillons de malwares

Pour analyser une menace, les chercheurs doivent parfois disposer du malware lui-même. Cela ne signifie évidemment pas qu'ils l'ont développé.

Les éditeurs développent des programmes de test

La recherche en cybersécurité peut nécessiter la création de scénarios contrôlés permettant de tester une protection. Un code de démonstration destiné à un laboratoire ne doit pas être confondu avec un malware criminel distribué aux victimes.

Les faux antivirus ont réellement existé

Les rogues ont exploité la confiance accordée aux logiciels de sécurité. Leur existence a probablement contribué à renforcer certaines suspicions concernant l'industrie antivirus.

Les anciennes statistiques sont rapidement dépassées

Les chiffres sur le nombre de menaces détectées peuvent évoluer rapidement. Utiliser de vieilles statistiques pour démontrer qu'un éditeur créerait lui-même les malwares conduit donc facilement à des conclusions erronées.

Existe-t-il des preuves que les éditeurs créent des virus ?

Il faut distinguer une accusation d'une preuve.

Pour démontrer qu'un éditeur antivirus crée volontairement des malwares afin de vendre ses produits, il faudrait établir des faits vérifiables permettant de relier directement cet éditeur à la conception, à la diffusion et à l'exploitation criminelle des infections.

Le simple fait qu'une entreprise :

• analyse un malware ;
• possède des échantillons ;
• publie des analyses techniques ;
• développe des outils de test ;
• détecte une menace avant d'autres acteurs ;
• ou propose une mise à jour pour la bloquer

ne constitue pas une preuve qu'elle a créé le malware.

Au contraire, l'existence d'équipes de recherche, de CERT, de chercheurs indépendants, d'organismes de cybersécurité et de multiples éditeurs concurrents rend beaucoup plus complexe l'idée selon laquelle une seule industrie fabriquerait secrètement toutes les menaces.

La véritable menace vient surtout de l'évolution de la cybercriminalité

Aujourd'hui, le problème n'est pas de savoir si les antivirus auraient besoin de créer artificiellement des virus. Les cybercriminels disposent déjà de suffisamment de motivations pour développer et diffuser eux-mêmes des logiciels malveillants : argent, vol de données, extorsion, espionnage, fraude et sabotage.

Comment se protéger réellement contre les malwares ?

Plutôt que de chercher à savoir si un éditeur antivirus pourrait théoriquement fabriquer un malware, la question la plus utile pour un utilisateur est : comment réduire le risque d'infection ?

1. Maintenez Windows et vos logiciels à jour

Les mises à jour corrigent notamment des vulnérabilités pouvant être exploitées par des attaquants. Consultez notre guide consacré aux mises à jour de Windows.

2. Méfiez-vous des téléchargements

Évitez les logiciels proposés par des sites douteux, les cracks, les installateurs modifiés et les programmes dont l'origine n'est pas clairement identifiable.

3. Ne copiez jamais une commande inconnue dans Windows

Certaines escroqueries modernes utilisent des techniques de type ClickFix pour convaincre l'utilisateur d'exécuter lui-même une commande présentée comme une solution à un problème. Consultez notre guide sur l'arnaque ClickFix.

4. Faites attention aux fausses applications

Les cybercriminels peuvent également utiliser des publicités malveillantes et de fausses applications pour distribuer leurs charges malveillantes. Notre dossier consacré aux fausses applications d'intelligence artificielle explique ce phénomène.

5. Utilisez une protection de sécurité fiable

Un antivirus ne remplace pas la prudence de l'utilisateur, mais il constitue une couche de protection importante. Pour connaître les différentes solutions disponibles, consultez notre sélection de logiciels de sécurité gratuits.

6. Analysez votre ordinateur en cas de comportement inhabituel

Un ordinateur qui affiche soudainement des publicités, ouvre des pages inconnues, ralentit fortement ou présente des comportements inhabituels mérite une vérification. Notre guide 20 vérifications à faire quand votre PC se comporte bizarrement peut vous aider.

7. Protégez vos comptes

Une infection n'est pas toujours le seul problème. Le vol d'identifiants peut également avoir des conséquences importantes. Découvrez comment protéger vos comptes contre le vol d'identifiants.

Une autre confusion fréquente : antivirus et faux antivirus

Si un programme affiche des centaines d'infections et vous demande immédiatement de payer pour les supprimer, ne supposez pas automatiquement qu'il s'agit d'un véritable antivirus.

Les fausses alertes et les logiciels escrocs peuvent utiliser des logos, des couleurs et des messages conçus pour inspirer confiance.

Les fausses alertes McAfee et Norton constituent un bon exemple de ce type de manipulation.

❓ FAQ : les fabricants d'antivirus créent-ils des virus ?

Conclusion : les antivirus ont-ils intérêt à créer des virus ?

La théorie selon laquelle les fabricants d'antivirus créeraient volontairement les virus qu'ils combattent ne résiste pas à une analyse du fonctionnement réel de la cybersécurité.

Les éditeurs doivent certes étudier les malwares en profondeur. Ils peuvent également utiliser des environnements de test et développer des programmes destinés à reproduire certains comportements malveillants. Mais cela ne signifie pas qu'ils sont à l'origine des infections qui touchent les utilisateurs.

Les cybercriminels disposent déjà de motivations considérables pour développer leurs propres menaces : argent, vol de données, rançon, fraude, espionnage ou sabotage.

La meilleure stratégie consiste donc à ne pas se focaliser sur cette ancienne rumeur, mais à comprendre les mécanismes réels des attaques et à appliquer plusieurs couches de protection.

Pour aller plus loin, consultez notre guide complet pour sécuriser un PC Windows.

Articles recommandés

PC Sans Virus vous aide à comprendre les menaces informatiques, à reconnaître les arnaques et à mieux protéger votre ordinateur.