Backdoor.Andromeda : détecter la porte dérobée et désinfecter son PC

1. Qu'est-ce que Backdoor.Andromeda ?

Le terme Backdoor.Andromeda est utilisé par certains outils de sécurité pour identifier des chevaux de Troie de la famille Andromeda. Le mot « backdoor », ou porte dérobée, désigne un mécanisme malveillant permettant de contourner les accès normaux d'un système pour autoriser des actions non souhaitées.

Andromeda est également connu sous le nom de Gamarue. Cette famille historique de logiciels malveillants a été utilisée pour constituer un réseau d'ordinateurs compromis et diffuser d'autres menaces. Une opération internationale menée en novembre 2017 a visé son infrastructure criminelle et interrompu une grande partie de ses communications.

Cette opération historique ne signifie pas que toute alerte portant le nom Andromeda est sans danger. Des fichiers anciens, des échantillons détectés tardivement ou des variantes identifiées par les moteurs antivirus peuvent encore déclencher des alertes. Il faut donc examiner les informations fournies par le logiciel qui a détecté la menace.

Pour comprendre les différences entre les catégories de logiciels malveillants, consultez également notre guide sur les chevaux de Troie.

↑ Retour au sommaire

2. Comment fonctionne cette menace ?

Une porte dérobée peut être installée après l'exécution d'un fichier malveillant, l'exploitation d'une faille logicielle ou l'intervention d'un autre programme infecté. Une fois présente, elle peut tenter de communiquer avec une infrastructure distante, recevoir des instructions ou servir de point d'entrée à d'autres logiciels malveillants.

Les capacités exactes varient selon l'échantillon. Il ne faut donc pas conclure qu'un fichier détecté a nécessairement volé des mots de passe ou transmis des documents. En revanche, si la menace a été exécutée avant sa détection, il est prudent d'évaluer le risque d'exposition des comptes et des informations personnelles.

↑ Retour au sommaire

3. Quels sont les signes possibles d'une infection ?

Une porte dérobée ne provoque pas nécessairement de symptômes visibles. Certains signes peuvent toutefois justifier une vérification plus approfondie :

• une alerte antivirus mentionnant Backdoor.Andromeda, Gamarue ou une détection apparentée ;
• des fichiers inconnus récemment apparus ou des programmes qui se lancent sans raison évidente ;
• des ralentissements, blocages ou comportements inhabituels qui persistent ;
• des paramètres de sécurité modifiés sans intervention de votre part ;
• des connexions réseau inhabituelles associées à un processus suspect ;
• des alertes répétées après une première tentative de suppression ;
• des connexions à vos comptes depuis des lieux ou appareils que vous ne reconnaissez pas.

Ces signes ne prouvent pas, à eux seuls, qu'un ordinateur est infecté : un programme légitime peut également consommer des ressources, et une alerte peut concerner un fichier mis en quarantaine ou un téléchargement bloqué avant son exécution.

Pour examiner plusieurs indices sans supprimer des fichiers au hasard, suivez notre guide pour vérifier si votre PC contient un virus.

↑ Retour au sommaire

4. Les premiers gestes avant la désinfection

Avant de lancer plusieurs outils, adoptez une méthode ordonnée. Cela limite les risques de propagation, évite les suppressions inutiles et facilite l'interprétation des résultats.

Étape 1 : noter les détails de l'alerte

Ouvrez l'historique de protection de votre antivirus et notez :

• le nom complet de la détection ;
• le chemin d'accès du fichier concerné ;
• la date et l'heure de détection ;
• l'action effectuée : blocage, suppression, mise en quarantaine ou échec ;
• le nom du logiciel de sécurité ayant produit l'alerte.

Si la menace a été bloquée dans un téléchargement et que le fichier n'a jamais été ouvert, le risque est différent de celui d'un programme qui s'est exécuté et dont la suppression a échoué.

Étape 2 : ne pas restaurer le fichier détecté

Si l'antivirus a placé le fichier en quarantaine, laissez-le isolé. Ne choisissez pas « Restaurer » ou « Autoriser sur l'appareil » simplement pour vérifier ce qu'il contient. Si vous pensez qu'il s'agit d'un faux positif, conservez les informations de détection et demandez une seconde analyse.

Étape 3 : préparer une sauvegarde prudente

Si vous devez sauvegarder des documents personnels, privilégiez les fichiers indispensables, tels que les documents et les photos, et évitez de copier des exécutables, scripts, installateurs ou fichiers inconnus. Ne reconnectez pas immédiatement le support de sauvegarde à d'autres ordinateurs. Pour une compromission sérieuse, demandez conseil avant toute opération susceptible de propager l'infection.

Pour renforcer ensuite les réglages de sécurité de votre ordinateur, consultez notre guide complet pour sécuriser un PC Windows.

↑ Retour au sommaire

5. Effectuer une analyse avec Microsoft Defender

Sur Windows 10 et Windows 11, Microsoft Defender constitue un premier outil de contrôle. Avant l'analyse, vérifiez que ses protections sont actives et que les définitions de sécurité sont à jour. Si un autre antivirus gère la protection en temps réel, adaptez la procédure à la configuration installée.

1. Ouvrez le menu Démarrer, puis recherchez Sécurité Windows.
2. Choisissez Protection contre les virus et menaces.
3. Recherchez les mises à jour des renseignements de sécurité si cette option est disponible.
4. Ouvrez les options d'analyse et sélectionnez Analyse complète.
5. Lancez l'analyse et laissez-la se terminer sans éteindre le PC.
6. Examinez les menaces trouvées, appliquez les actions recommandées et redémarrez si cela est demandé.
7. Consultez ensuite l'historique de protection pour vérifier le statut de chaque détection.

Si Microsoft Defender détecte encore une menace, si des composants de sécurité sont désactivés sans explication ou si le malware réapparaît après redémarrage, une analyse hors ligne ou une assistance spécialisée peut être nécessaire. L'analyse Microsoft Defender hors ligne, accessible depuis les options d'analyse sur les versions compatibles de Windows, redémarre l'ordinateur pour examiner le système dans un environnement différent de la session habituelle.

Une analyse complète sans détection est rassurante, mais elle ne garantit pas à elle seule que toute compromission a disparu. Si la première alerte mentionnait une porte dérobée active, poursuivez avec une vérification complémentaire adaptée au niveau de risque.

↑ Retour au sommaire

6. Utiliser ZHPCleaner en complément

ZHPCleaner est principalement destiné à rechercher et traiter des éléments indésirables liés notamment aux adwares, aux programmes potentiellement indésirables et à certaines modifications de navigateur. Il peut être utile si l'incident s'accompagne de publicités, d'extensions inconnues ou de changements de paramètres.

Important : ZHPCleaner ne doit pas être considéré comme un outil spécialisé capable d'éliminer à lui seul une porte dérobée active. Utilisez-le en complément d'un antivirus, et non à sa place.

Procédure recommandée

1. Téléchargez l'outil depuis la page de présentation de ZHPCleaner sur PC Sans Virus, puis vérifiez que vous obtenez bien le programme officiel.
2. Fermez les navigateurs et les applications non indispensables.
3. Lancez l'outil conformément aux instructions affichées et démarrez une analyse.
4. Attendez la fin du contrôle et examinez le rapport. Ne supprimez pas un élément uniquement parce que son nom est inconnu : vérifiez sa nature et son emplacement.
5. Si des éléments clairement indésirables sont identifiés, appliquez les actions proposées par l'outil après lecture des résultats.
6. Redémarrez si cela est demandé, puis vérifiez le fonctionnement du navigateur et relancez l'analyse antivirus principale si nécessaire.

Si ZHPCleaner ne trouve rien, cela ne prouve pas que le PC est exempt de porte dérobée : son rôle principal n'est pas la recherche exhaustive de tous les chevaux de Troie. Si l'alerte Backdoor.Andromeda persiste, continuez avec les contrôles antivirus ci-dessous.

↑ Retour au sommaire

7. Analyser le PC avec AdwCleaner

AdwCleaner est conçu pour rechercher et supprimer différents logiciels publicitaires, programmes potentiellement indésirables et éléments associés à certains détournements du navigateur. Il est particulièrement pertinent si des extensions ou des composants indésirables se sont installés en même temps qu'un autre programme.

Étapes d'utilisation

1. Accédez à la page Télécharger AdwCleaner gratuitement et récupérez l'outil depuis sa source officielle indiquée.
2. Fermez les navigateurs et enregistrez votre travail.
3. Ouvrez AdwCleaner et lancez l'analyse disponible dans votre version.
4. Consultez la liste des éléments détectés avant de lancer le nettoyage.
5. Appliquez les actions proposées pour les éléments indésirables confirmés et suivez les instructions éventuelles de redémarrage.
6. Après redémarrage, vérifiez les extensions du navigateur, la page d'accueil et le moteur de recherche par défaut.

AdwCleaner n'est pas un substitut à une analyse antivirus complète. Si le seul problème est une alerte Backdoor.Andromeda, ne comptez pas sur cet outil pour établir à lui seul que la porte dérobée a été supprimée. Il s'agit d'un contrôle complémentaire, surtout en présence de logiciels indésirables.

↑ Retour au sommaire

8. Effectuer une analyse avec Malwarebytes

Malwarebytes fournit un outil anti-malware complémentaire capable de rechercher de nombreuses menaces, dont certaines détections de la famille Backdoor.Andromeda. Il peut apporter un second avis lorsque l'alerte initiale provient d'un autre logiciel de sécurité.

Étapes pour lancer une analyse

1. Téléchargez le programme depuis la page Malwarebytes Anti-Malware, puis installez-le à partir de la source officielle.
2. Ouvrez le logiciel et laissez-le appliquer les mises à jour disponibles.
3. Accédez à la fonction d'analyse et sélectionnez le contrôle proposé adapté à votre version.
4. Lancez l'analyse et attendez la fin du processus. Évitez d'utiliser le PC pour des opérations sensibles pendant ce temps.
5. Examinez les résultats, notamment le nom de la menace, son emplacement et son statut.
6. Placez en quarantaine les éléments identifiés comme malveillants et confirmez les actions proposées après avoir vérifié le rapport.
7. Redémarrez si le logiciel le demande, puis lancez une nouvelle analyse pour vérifier si la détection réapparaît.

Évitez d'installer simultanément plusieurs suites antivirus avec une protection en temps réel sans vérifier leur compatibilité. Un scanner à la demande et un antivirus principal peuvent être complémentaires, mais plusieurs protections actives peuvent provoquer des conflits ou ralentir le système.

↑ Retour au sommaire

9. Compléter le contrôle avec ESET Online Scanner

ESET Online Scanner est un outil d'analyse à la demande destiné à rechercher des logiciels malveillants sur un ordinateur compatible. Il peut apporter une vérification supplémentaire, notamment lorsque vous souhaitez comparer les résultats de plusieurs moteurs de détection.

Mode d'emploi

1. Ouvrez notre guide ESET Online Scanner : analyse antivirus gratuite pour accéder aux informations de téléchargement.
2. Récupérez l'outil depuis le site officiel d'ESET et lancez son programme d'installation.
3. Lisez les conditions et les options proposées, puis autorisez les mises à jour nécessaires à l'analyse.
4. Choisissez le type d'analyse disponible. Une analyse approfondie est préférable lorsque vous soupçonnez une infection, si le temps et l'espace disque le permettent.
5. Laissez l'outil examiner les fichiers et attendez la fin du contrôle.
6. Consultez le rapport final et appliquez les actions de nettoyage recommandées pour les menaces confirmées.
7. Redémarrez si nécessaire, puis vérifiez que la menace ne réapparaît pas lors d'une nouvelle analyse.

Si ESET et un autre outil signalent le même fichier, notez les noms de détection, les chemins et les actions réalisées. Des appellations différentes peuvent désigner une menace similaire. À l'inverse, deux noms proches ne garantissent pas qu'il s'agit exactement du même échantillon.

Si plusieurs outils échouent à supprimer une porte dérobée, ne multipliez pas les nettoyeurs au hasard. Passez à la section consacrée aux infections persistantes.

↑ Retour au sommaire

10. Que faire si Backdoor.Andromeda revient après le nettoyage ?

Une détection répétée ne signifie pas systématiquement que le malware est toujours actif. Elle peut concerner un fichier dans une sauvegarde, un téléchargement non supprimé, une archive, un support amovible ou une trace que l'antivirus continue de signaler. Il faut identifier précisément le fichier concerné et le statut de l'alerte.

Vérifier l'origine de la nouvelle alerte

• Comparez le chemin du fichier avec celui de la détection initiale.
• Vérifiez si le logiciel indique « bloqué », « en quarantaine », « supprimé » ou « action nécessaire ».
• Recherchez si l'alerte se produit après l'ouverture d'un dossier, le branchement d'un support USB ou le lancement d'un programme précis.
• Ne restaurez pas le fichier pour tenter de reproduire la détection.

Utiliser un diagnostic plus avancé si nécessaire

Si les symptômes persistent, que les outils de sécurité sont désactivés ou que plusieurs alertes graves se succèdent, un diagnostic plus poussé peut être nécessaire. L'outil FRST produit des rapports techniques qui peuvent aider un intervenant compétent à examiner certains paramètres de Windows.

Vous pouvez consulter notre guide complet FRST pour analyser et désinfecter un PC Windows. N'appliquez pas de script de correction trouvé en ligne sans qu'il ait été préparé pour votre propre diagnostic : une mauvaise modification peut empêcher Windows de fonctionner correctement.

Quand envisager une réinstallation de Windows ?

Si une porte dérobée a réellement été exécutée et que son élimination ne peut pas être confirmée, si des protections ont été altérées ou si des signes de compromission profonde subsistent, une réinstallation propre de Windows peut offrir davantage de garanties qu'une succession de nettoyages.

Avant de réinstaller :

• sauvegardez prudemment les documents personnels indispensables ;
• préparez un support d'installation fiable créé depuis un appareil sain ;
• évitez de restaurer des exécutables, scripts ou installateurs suspects ;
• réinstallez les applications depuis leurs sources officielles ;
• installez les mises à jour de sécurité avant de reconnecter les comptes importants.

Si l'ordinateur contient des données professionnelles sensibles, des informations médicales ou des documents qui ne peuvent pas être perdus, demandez conseil à un professionnel avant de réinitialiser le système ou d'effacer des partitions.

↑ Retour au sommaire

11. Vérifier le PC et protéger ses comptes après la désinfection

Supprimer un fichier malveillant est une étape importante, mais il faut aussi vérifier les conséquences éventuelles de l'incident. Si une porte dérobée a été active, le nettoyage du fichier ne permet pas de savoir à lui seul si des informations ont été copiées ou si des mots de passe ont été exposés.

Contrôle de sécurité après nettoyage

1. Redémarrez l'ordinateur lorsque les outils le demandent.
2. Vérifiez que l'antivirus est actif et que ses définitions sont à jour.
3. Lancez une nouvelle analyse avec votre protection principale.
4. Confirmez que la détection initiale n'est plus signalée comme active ou nécessitant une action.
5. Vérifiez les programmes qui se lancent au démarrage et désinstallez uniquement les applications clairement indésirables que vous avez identifiées.
6. Installez les mises à jour de Windows, des navigateurs et des applications.
7. Surveillez les alertes et les comportements inhabituels au cours des jours suivants.

Sécuriser les mots de passe depuis un appareil sain

Si le malware a pu s'exécuter, utilisez un autre appareil réputé sain pour modifier en priorité le mot de passe de votre messagerie principale, puis ceux de vos comptes bancaires, de stockage en ligne et de vos autres services sensibles.

• Choisissez des mots de passe uniques et difficiles à deviner.
• Activez l'authentification multifacteur lorsque c'est possible.
• Déconnectez les sessions inconnues et révoquez les appareils que vous ne reconnaissez pas.
• Vérifiez les règles de transfert de courrier, les adresses de récupération et les méthodes d'authentification de vos comptes.
• Surveillez les opérations financières et contactez votre banque sans attendre si vous constatez une activité suspecte.

Pour aller plus loin, consultez notre guide sur le vol d'identifiants et la protection des comptes en ligne.

Mettre Windows à jour

Les mises à jour corrigent des vulnérabilités qui peuvent être exploitées par des logiciels malveillants. Ouvrez Windows Update, recherchez les mises à jour disponibles, installez-les puis redémarrez si nécessaire. Mettez également à jour les navigateurs, les lecteurs de documents et les autres applications installées.

Notre guide explique comment effectuer les mises à jour de Windows.

↑ Retour au sommaire

12. Que faire si vous utilisez macOS ?

Andromeda/Gamarue est historiquement associé à des infections Windows. Une alerte Backdoor.Andromeda affichée sur un Mac ne signifie donc pas automatiquement que macOS est infecté par le malware Windows correspondant. Le fichier détecté peut être un fichier Windows stocké sur le Mac, une pièce jointe, une archive ou un élément destiné à être transféré vers un autre appareil.

Les vérifications à effectuer sur Mac

1. Notez le nom complet de la détection et le chemin du fichier indiqué par l'outil de sécurité.
2. Ne lancez pas le fichier suspect et ne le transférez pas vers un autre ordinateur.
3. Laissez l'antivirus le bloquer ou le placer en quarantaine, puis examinez le rapport.
4. Installez les mises à jour de macOS et des applications depuis les réglages système et les sources officielles.
5. Vérifiez les applications installées, les éléments d'ouverture de session et les autorisations récemment accordées si vous avez exécuté un programme douteux.
6. Si vous observez une activité réellement suspecte, effectuez une analyse avec un outil de sécurité compatible avec macOS et demandez une assistance adaptée au système.

N'installez pas ZHPCleaner ou AdwCleaner pour Windows en pensant qu'ils peuvent désinfecter macOS. Utilisez des outils conçus pour le système concerné. Notre page consacrée à AdwareMedic et au nettoyage des adwares sur Mac apporte un éclairage complémentaire sur les menaces visant cet environnement.

Si vous avez saisi des mots de passe sur un Mac suspect, changez-les depuis un appareil sain et examinez les sessions actives de vos comptes. En cas de suspicion d'accès distant réel, ne vous contentez pas de supprimer un fichier sans comprendre son origine.

↑ Retour au sommaire

13. Android, iPhone et iPad : les bons réflexes

Une détection Backdoor.Andromeda associée à Windows ne doit pas être transposée automatiquement à un smartphone. Les systèmes mobiles ont des mécanismes de sécurité et des formats d'applications différents. Il faut examiner l'alerte et le fichier précis avant de conclure à une infection.

Sur Android

1. Si une application inconnue a été installée récemment, évitez de l'ouvrir et désinstallez-la si son origine est douteuse.
2. Ouvrez Google Play et lancez une vérification avec Play Protect.
3. Installez les mises à jour Android et celles des applications.
4. Examinez les autorisations sensibles, notamment l'accessibilité, l'administration de l'appareil, les notifications et l'accès aux fichiers.
5. Supprimez les applications provenant de sources non fiables et désactivez l'installation d'applications inconnues si elle n'est plus nécessaire.
6. Si le téléphone affiche des signes persistants de compromission, sauvegardez uniquement les données nécessaires et envisagez une réinitialisation après avoir sécurisé vos comptes.

Pour comprendre les risques associés aux applications mobiles téléchargées, consultez notre guide sur les applications Android dangereuses.

Sur iPhone et iPad

1. Installez les mises à jour d'iOS ou d'iPadOS disponibles dans les réglages.
2. Supprimez les applications que vous ne reconnaissez pas ou dont l'origine n'est pas fiable.
3. Examinez les profils de configuration et la gestion de l'appareil dans les réglages si vous en trouvez que vous n'avez pas installés volontairement. Sur un appareil professionnel ou scolaire, demandez d'abord conseil à l'administrateur.
4. Vérifiez les appareils connectés à votre compte Apple et retirez ceux que vous ne reconnaissez pas.
5. Si vous pensez que votre compte a été compromis, modifiez son mot de passe depuis un appareil sain et contrôlez les moyens de récupération.

Évitez les applications qui prétendent nettoyer en profondeur un iPhone en un clic ou qui exigent des autorisations injustifiées. Si une alerte Backdoor.Andromeda provient d'un fichier téléchargé ou d'une pièce jointe, ne l'ouvrez pas et ne la transférez pas vers un ordinateur Windows.

Pour une approche plus générale, découvrez notre guide pour protéger son PC, son Mac et ses appareils mobiles.

↑ Retour au sommaire

14. Comment prévenir une nouvelle infection ?

La meilleure protection repose sur plusieurs mesures complémentaires. Aucun antivirus ne garantit une sécurité absolue : les mises à jour, les habitudes de téléchargement, les sauvegardes et la protection des comptes jouent également un rôle essentiel.

Une bonne routine de sécurité réduit les risques d'infection et facilite la détection précoce des comportements anormaux. Pour renforcer les défenses de Windows, vous pouvez également consulter les informations consacrées au pare-feu de Windows 10 et 11.

↑ Retour au sommaire

15. Questions fréquentes sur Backdoor.Andromeda

↑ Retour au sommaire

Conclusion : éliminer la menace et retrouver un PC sûr

Une alerte Backdoor.Andromeda mérite une vérification sérieuse, mais il faut éviter les conclusions hâtives. Le nom de détection, l'emplacement du fichier et le statut indiqué par l'antivirus permettent de distinguer un fichier bloqué d'une infection potentiellement active.

Commencez par isoler le PC si une compromission est suspectée, puis effectuez une analyse complète avec votre protection principale. Malwarebytes et ESET peuvent apporter un second avis, tandis que ZHPCleaner et AdwCleaner sont surtout utiles pour les logiciels indésirables et les problèmes de navigateur.

Si la menace persiste, si les protections ont été altérées ou si une porte dérobée active est confirmée, ne vous contentez pas d'enchaîner les nettoyeurs : un diagnostic avancé ou une réinstallation propre peut être nécessaire. Enfin, sécurisez vos comptes depuis un appareil sain et maintenez tous vos logiciels à jour.

La meilleure approche associe une désinfection méthodique, la vérification des résultats et la protection des données personnelles.

Articles recommandés

Pour approfondir la sécurité de votre ordinateur, comprendre les autres formes de portes dérobées et renforcer votre protection, découvrez également ces guides de PC Sans Virus.