Trojan DarkMe RAT : détecter le cheval de Troie espion et sécuriser son PC

1. Qu'est-ce que DarkMe RAT ?

DarkMe est une famille de logiciels malveillants de type RAT (Remote Access Trojan). Cette appellation désigne un programme malveillant qui établit une communication avec une infrastructure distante afin de recevoir des instructions et de transmettre des informations collectées sur l'ordinateur infecté.

Contrairement à un simple adware qui affiche des publicités ou à un pirate de navigateur qui modifie la page d'accueil, un cheval de Troie d'accès distant peut s'inscrire dans une opération beaucoup plus discrète. Son objectif n'est pas nécessairement de rendre le PC inutilisable. Il peut chercher à rester actif sans attirer l'attention, observer l'environnement de la victime et récupérer des données présentant un intérêt pour l'attaquant.

Les analyses de sécurité ont associé DarkMe à des campagnes d'attaques financièrement motivées. Des utilisateurs du trading, des plateformes de cryptomonnaies, des forums spécialisés et des entreprises du secteur financier ont notamment été concernés par différentes opérations documentées.

DarkMe a également été décrit dans des recherches de cybersécurité sous la forme d'un malware espion développé en Visual Basic 6 (VB6). Ses différentes versions peuvent employer plusieurs étapes de chargement, des composants intermédiaires et des mécanismes destinés à compliquer leur détection.

Comprendre les chevaux de Troie et leurs méthodes d'infection permet de mieux distinguer cette menace des autres familles de malwares.

↑ Retour au sommaire

2. Comment fonctionne ce cheval de Troie espion ?

Un RAT ne fonctionne pas comme un logiciel classique installé volontairement. Il comprend généralement un composant exécuté sur l'appareil compromis et une infrastructure distante utilisée par l'opérateur. Une fois actif, le programme malveillant peut établir une communication réseau, transmettre des informations et recevoir des instructions.

Les chercheurs ont observé chez DarkMe des chaînes d'exécution composées de plusieurs éléments. Un premier fichier déclenche le téléchargement ou l'extraction de composants supplémentaires. Des scripts et des bibliothèques dynamiques peuvent ensuite participer au chargement de la charge malveillante finale.

Une infection en plusieurs étapes

1. Le leurre initial : la victime reçoit un lien ou un fichier présenté comme un document, une image, un graphique financier ou un outil spécialisé.
2. L'exécution : l'ouverture du fichier déclenche un programme ou un mécanisme de téléchargement qui n'est pas forcément visible à l'écran.
3. Le déploiement : des composants intermédiaires sont déposés dans des répertoires accessibles au compte utilisateur, notamment dans certaines zones du profil Windows.
4. Le chargement : plusieurs bibliothèques et processus peuvent intervenir pour déchiffrer ou lancer la charge utile.
5. La communication distante : le RAT peut contacter un serveur de commande et de contrôle, souvent désigné par l'abréviation C2 (Command and Control).
6. Les opérations malveillantes : selon la variante et les instructions reçues, le programme peut collecter des informations, manipuler des fichiers ou exécuter certaines commandes.

Pourquoi plusieurs chargeurs sont-ils utilisés ?

Les différentes couches rendent l'analyse plus complexe. Un composant peut simplement préparer le suivant, tandis qu'un autre déchiffre la charge utile ou lance le code dans un processus déjà présent sur Windows.

Les analyses de certaines variantes ont notamment décrit l'utilisation de bibliothèques VB6, d'une inscription COM et d'un mécanisme appelé process hollowing. Cette technique consiste notamment à créer un processus légitime en état suspendu, puis à remplacer son contenu en mémoire par du code malveillant avant de poursuivre son exécution. Le programme hôte peut ainsi sembler légitime alors que le code exécuté ne l'est pas. Le nom d'un programme Windows connu peut ainsi apparaître dans la liste des processus sans garantir que son exécution est normale.

Important : la présence de rundll32.exe, de msiexec.exe, d'un script Windows ou d'un processus Microsoft n'est pas une preuve d'infection. Ces composants sont aussi utilisés par des logiciels légitimes. C'est leur contexte d'exécution, leur emplacement, leur origine et leur comportement qui doivent être examinés.

↑ Retour au sommaire

3. Les campagnes DarkMe et leur évolution

DarkMe n'est pas une menace apparue soudainement en 2026. Des échantillons ont été observés plusieurs années auparavant et différentes campagnes ont été analysées par des équipes spécialisées. Les méthodes de distribution ont évolué au fil du temps.

Des attaques visant notamment les milieux financiers

Des recherches publiées en 2024 ont décrit des opérations dans lesquelles DarkMe était diffusé auprès d'utilisateurs de plateformes de trading et de canaux de discussion consacrés à la finance. Des archives compressées pouvaient contenir des raccourcis ou des fichiers exécutables malveillants. L'ouverture de ces éléments déclenchait une chaîne d'installation.

Les chercheurs de Kaspersky ont notamment décrit une campagne utilisant Telegram pour diffuser des fichiers piégés. Les contenus pouvaient être présentés comme des ressources utiles aux traders. Les fichiers malveillants étaient dissimulés dans des archives et pouvaient déclencher l'installation de DarkMe lorsque l'utilisateur les exécutait.

Les anciennes campagnes et les failles de sécurité

DarkMe a également été associé à l'exploitation de vulnérabilités dans des logiciels et des mécanismes de sécurité Windows. Deux failles ont particulièrement marqué les analyses de campagnes précédentes :

• CVE-2023-38831 : une vulnérabilité de WinRAR exploitée dans des attaques utilisant des archives spécialement préparées.
• CVE-2024-21412 : une faille de contournement de protections Windows SmartScreen, exploitée dans une campagne visant notamment des utilisateurs du secteur financier.

Ces vulnérabilités ne signifient pas que tout utilisateur de WinRAR ou de Windows Defender est infecté. Elles rappellent surtout l'importance d'installer les mises à jour de sécurité et de ne jamais ouvrir des fichiers provenant de sources douteuses.

La campagne observée en 2026 : une fausse image au format PIF

Une analyse publiée par Huntress après l'observation de deux incidents le 31 août 2026 décrit une nouvelle chaîne de diffusion. Les victimes recevaient par e-mail un lien présenté comme donnant accès à une image. Le fichier récupéré portait en réalité l'extension .pif et déclenchait une succession d'étapes conduisant au chargement de DarkMe.

Ce détail est important : sur les systèmes Windows modernes, un fichier PIF peut être exécuté comme un programme. Son ancienne appellation et son apparence peuvent donner une impression trompeuse à l'utilisateur. Dans la campagne étudiée, l'exécution du fichier déclenchait ensuite le téléchargement d'un installateur MSI, l'extraction de composants et le chargement de plusieurs bibliothèques VB6.

Cette campagne ne reposait pas sur une nouvelle faille zero-day : elle utilisait principalement l'ingénierie sociale, c'est-à-dire la manipulation de la victime pour lui faire exécuter elle-même le fichier.

↑ Retour au sommaire

4. Comment DarkMe peut-il infecter un ordinateur ?

Les campagnes DarkMe documentées ont notamment exploité des archives piégées, des raccourcis Windows, des fichiers exécutables et des liens diffusés par messagerie ou par e-mail. Plus généralement, les courriels frauduleux, les faux outils financiers et les téléchargements provenant de sources inconnues constituent également des risques pour la sécurité d'un ordinateur.

Les principaux vecteurs à connaître

• Courriels frauduleux : un message prétend transmettre une facture, un relevé, un graphique boursier, une image ou un document urgent.
• Telegram et autres messageries : une archive ou un outil présenté comme une ressource financière est partagé dans un groupe ou une conversation.
• Archives ZIP ou RAR piégées : le fichier compressé paraît inoffensif, mais contient un raccourci ou un exécutable dangereux.
• Fichiers PIF, COM, LNK ou scripts : ces fichiers peuvent déclencher l'exécution d'un programme ou d'une commande malveillante. Certaines campagnes DarkMe documentées ont notamment utilisé des fichiers .LNK et .COM.
• Faux outils de trading : un programme promet des indicateurs, des graphiques, des analyses ou des fonctions supplémentaires pour une plateforme financière.
• Sites compromis ou liens frauduleux : une page imitant un service connu invite à télécharger un fichier présenté comme légitime.
• Logiciels non mis à jour : certaines campagnes ont exploité des vulnérabilités connues pour faciliter l'installation du malware.

Les extensions de fichiers qui doivent éveiller votre attention

Un fichier ne doit jamais être considéré comme sûr uniquement parce que son nom semble rassurant. Soyez particulièrement prudent avec les extensions suivantes lorsqu'elles arrivent de manière inattendue :

• .pif : ancien format de fichier de programme pouvant être exécuté sous Windows.
• .com : ancien format de fichier exécutable sous DOS et Windows, pouvant être détourné pour lancer un programme malveillant.
• .lnk : raccourci Windows pouvant lancer une commande ou un programme.
• .cmd et .bat : scripts de commandes Windows.
• .msi : paquet d'installation Windows, légitime dans de nombreux cas mais pouvant aussi être détourné.
• .dll : bibliothèque logicielle qui peut être chargée par un programme.
• .exe : fichier exécutable classique.

Il ne faut pas supprimer automatiquement tous les fichiers portant ces extensions : Windows et les applications en utilisent quotidiennement. Le risque dépend de leur provenance, de leur emplacement et de leur comportement.

Pour approfondir les techniques de manipulation qui poussent les internautes à exécuter eux-mêmes des commandes ou des fichiers, consultez notre guide sur l'arnaque ClickFix et les fausses instructions de dépannage.

↑ Retour au sommaire

5. Quelles informations DarkMe peut-il compromettre ?

Les fonctions précises dépendent de la variante et de la campagne. Les recherches consacrées à DarkMe ont toutefois mis en évidence des capacités de collecte d'informations et de contrôle à distance qui peuvent présenter un risque important pour la confidentialité de la victime.

Collecte d'informations et espionnage

Un RAT peut chercher à récupérer des informations présentes sur l'appareil : fichiers, données de session, renseignements sur les logiciels installés ou informations utiles pour préparer une autre attaque. Certaines analyses de DarkMe ont notamment documenté des capacités de capture d'écran et de manipulation de fichiers.

Vol d'identifiants et risque pour les portefeuilles numériques

Les campagnes associées à DarkMe ont visé des environnements dans lesquels les identifiants financiers et les portefeuilles de cryptomonnaies présentent un intérêt particulier. Des analyses techniques ont relevé des fonctions de collecte visant certains logiciels de portefeuilles numériques.

Si vous avez utilisé un portefeuille ou saisi un mot de passe sur un ordinateur suspect, considérez les secrets accessibles depuis cet appareil comme potentiellement exposés. Une analyse antivirus ne peut pas annuler un vol d'identifiants déjà réalisé.

Commandes à distance et manipulation de fichiers

Les capacités attribuées à certaines variantes comprennent l'exécution de commandes, l'énumération de répertoires, la copie ou la suppression de fichiers et la communication avec un serveur distant. Cela ne signifie pas que toutes les variantes disposent nécessairement de toutes ces fonctions.

Pourquoi un RAT est-il particulièrement préoccupant ?

Un logiciel publicitaire peut être visible à travers des fenêtres intempestives. Un RAT peut, au contraire, rester discret et agir sans afficher d'interface. La victime peut donc continuer à utiliser son ordinateur alors que des données sont potentiellement collectées en arrière-plan.

Pour mieux comprendre les conséquences du vol d'informations, consultez notre dossier consacré au vol d'identifiants et à la protection des comptes en ligne.

↑ Retour au sommaire

6. Les signes possibles d'une infection par DarkMe

Il n'existe pas de symptôme visuel unique permettant d'identifier DarkMe avec certitude. Un ordinateur peut être infecté sans ralentissement évident ni fenêtre d'alerte. À l'inverse, un PC lent ou un processus inhabituel ne signifie pas nécessairement qu'un RAT est présent.

Certains comportements doivent néanmoins inciter à effectuer des vérifications :

• un fichier PIF, LNK, MSI ou script a été exécuté après réception d'un message inattendu ;
• une fenêtre de commande ou un installateur s'est ouvert sans raison compréhensible ;
• des fichiers inconnus sont apparus dans le profil utilisateur ou dans des dossiers temporaires ;
• des processus Windows légitimes semblent lancés depuis un emplacement inhabituel ;
• des connexions réseau sont établies alors qu'aucune application connue ne semble les justifier ;
• des alertes de sécurité signalent un cheval de Troie, un accès distant ou un composant suspect ;
• des paramètres de sécurité ont été modifiés sans votre intervention ;
• des comptes en ligne signalent des connexions inhabituelles ou des tentatives de réinitialisation de mot de passe ;
• des fichiers, captures d'écran ou données semblent avoir été consultés ou modifiés sans votre accord.

Si votre ordinateur présente plusieurs anomalies, notre guide 20 vérifications à effectuer lorsque votre PC se comporte bizarrement peut vous aider à organiser les premiers contrôles.

↑ Retour au sommaire

7. Comment vérifier si son PC est compromis ?

Avant de supprimer des fichiers ou de modifier Windows, il est préférable de déterminer ce qui s'est passé. Si un fichier suspect a été exécuté, notez l'heure approximative, le message reçu, le nom du fichier et les actions réalisées.

Étape 1 : consulter l'historique de sécurité

1. Ouvrez le menu Démarrer.
2. Recherchez Sécurité Windows et ouvrez l'application.
3. Accédez à Protection contre les virus et menaces.
4. Consultez les menaces actuelles et l'historique de protection.
5. Relevez le nom de la détection, la date, le fichier concerné et l'action effectuée.

Ne restaurez pas un fichier placé en quarantaine uniquement parce que son nom vous semble familier. En cas de doute, laissez-le isolé et demandez un avis technique.

Étape 2 : vérifier les applications installées

Ouvrez Paramètres → Applications → Applications installées sous Windows 11, ou la rubrique équivalente sous Windows 10. Recherchez les programmes récemment ajoutés et ceux dont vous ne reconnaissez pas l'origine.

Une date d'installation récente ne prouve pas qu'un programme est malveillant. Vérifiez son éditeur, son emplacement, sa provenance et sa raison d'être avant de le désinstaller.

Étape 3 : examiner les processus sans les supprimer

Ouvrez le Gestionnaire des tâches avec Ctrl + Maj + Échap. Observez les processus actifs, leur consommation de ressources et leur cohérence avec les logiciels ouverts.

Pour un processus suspect, utilisez le menu contextuel puis Ouvrir l'emplacement du fichier, si cette option est disponible. Vérifiez ensuite les propriétés du fichier et sa signature numérique. Un nom connu ou une signature numérique valide ne suffit pas à garantir qu'un processus est légitime dans son contexte. Certains malwares peuvent détourner un exécutable authentique, le copier dans un répertoire inhabituel ou exécuter du code malveillant à l'intérieur de son processus. Vérifiez donc conjointement l'emplacement du fichier, son éditeur, sa signature, son origine et son comportement.

Étape 4 : vérifier les applications au démarrage

Dans le Gestionnaire des tâches, ouvrez la rubrique Applications de démarrage. Repérez les entrées inconnues ou récemment ajoutées. Ne désactivez pas au hasard les composants Microsoft, les pilotes ou les outils du fabricant de l'ordinateur.

Étape 5 : observer les connexions réseau

Une connexion distante inhabituelle peut être un indice, mais elle ne suffit pas à identifier DarkMe. Les navigateurs, les services cloud, les mises à jour et les applications de communication utilisent constamment Internet.

Si vous êtes accompagné par un technicien, conservez les informations utiles : heure de la connexion, processus concerné, adresse distante et nom du fichier associé. Évitez de publier des journaux contenant des informations personnelles ou des identifiants.

↑ Retour au sommaire

8. Que faire immédiatement en cas de suspicion ?

Si vous pensez avoir exécuté un fichier lié à DarkMe, ne commencez pas par multiplier les nettoyeurs. Un cheval de Troie d'accès distant peut communiquer avec un opérateur. La priorité consiste à limiter les échanges avec l'extérieur et à protéger les informations sensibles.

1. Déconnecter l'ordinateur d'Internet

• Désactivez le Wi-Fi ou débranchez le câble Ethernet.
• Déconnectez les autres connexions réseau si nécessaire.
• Ne reconnectez pas l'appareil simplement pour télécharger plusieurs outils.
• Si l'ordinateur appartient à une entreprise, prévenez immédiatement le service informatique ou le responsable de sécurité.

2. Ne plus saisir de données confidentielles

N'ouvrez pas votre banque en ligne, votre messagerie principale, vos comptes professionnels ou vos portefeuilles de cryptomonnaies depuis le PC suspect. N'y saisissez aucun nouveau mot de passe.

3. Utiliser un appareil sain pour protéger ses comptes

Depuis un autre ordinateur ou un smartphone dont vous êtes sûr, changez en priorité les mots de passe des comptes essentiels : messagerie principale, banque, services professionnels, stockage en ligne et gestionnaire de mots de passe. Activez l'authentification multifacteur lorsque c'est possible.

Déconnectez les sessions inconnues et révoquez les appareils ou applications que vous ne reconnaissez pas. Pour un portefeuille de cryptomonnaies potentiellement exposé, demandez conseil au fournisseur ou à un spécialiste avant toute opération. Ne communiquez jamais votre phrase de récupération à un tiers.

4. Préserver les éléments utiles

Notez le nom du fichier, son emplacement, l'heure de son exécution et le message qui vous a conduit à l'ouvrir. Si une enquête ou une assistance professionnelle est nécessaire, ces informations peuvent être précieuses.

Ne supprimez pas manuellement des DLL, des clés de registre ou des composants système sur la base d'une simple recherche Internet. Une suppression improvisée peut endommager Windows et faire disparaître des éléments utiles au diagnostic.

5. Évaluer la gravité de l'incident

Si des comptes financiers, des données professionnelles ou des informations confidentielles sont concernés, privilégiez une assistance spécialisée. Pour une entreprise, l'incident doit être traité comme une compromission potentielle et non comme un simple problème de nettoyage publicitaire.

↑ Retour au sommaire

9. Vérifier et nettoyer Windows avec quatre outils complémentaires

Les quatre utilitaires ci-dessous permettent d'effectuer des contrôles complémentaires. Ils ne remplissent pas tous la même fonction et ne doivent pas être considérés comme quatre antivirus interchangeables.

Pour DarkMe, cette distinction est essentielle : un RAT peut utiliser des chargeurs multiples, des composants intégrés à des processus légitimes et des mécanismes de persistance. Un outil spécialisé dans les adwares peut ne rien détecter si la menace n'entre pas dans son champ d'analyse.

Ordre retenu : ZHPCleaner pour un premier contrôle des éléments indésirables, AdwCleaner pour les adwares et programmes potentiellement indésirables, Malwarebytes pour une analyse antimalware plus générale, puis ESET Online Scanner pour une vérification antivirus complémentaire.

Cette séquence est une méthode pratique de contrôle. Elle ne constitue pas une procédure officielle de détection spécifique à DarkMe et ne garantit pas qu'un RAT avancé sera entièrement supprimé.

10. Première vérification : analyser avec ZHPCleaner

ZHPCleaner est un utilitaire orienté vers la recherche et la suppression de certains éléments indésirables, notamment des modifications de navigateurs, des adwares, des redirections et des composants potentiellement nuisibles.

Il peut être utile pour rechercher des modifications parasites présentes sur le système, mais il ne faut pas le présenter comme un outil capable de détecter à lui seul toutes les fonctions d'un cheval de Troie RAT.

Consulter le guide ZHPCleaner sur PC Sans Virus

Comment utiliser ZHPCleaner ?

1. Depuis un appareil sain si le PC suspect reste isolé, consultez le guide PC Sans Virus consacré à ZHPCleaner.
2. Téléchargez l'utilitaire depuis la source indiquée dans le guide et vérifiez que le fichier correspond bien à l'outil attendu.
3. Transférez-le uniquement si cette opération est adaptée à votre situation. Pour un incident professionnel ou une compromission importante, demandez d'abord conseil au responsable informatique.
4. Lancez ZHPCleaner et acceptez les autorisations nécessaires à son fonctionnement.
5. Choisissez la fonction d'analyse proposée par la version utilisée et laissez le contrôle se terminer.
6. Examinez les éléments signalés avant toute suppression. Ne validez pas aveuglément une action concernant un composant dont vous ne connaissez pas le rôle.
7. Si l'outil propose de mettre en quarantaine ou de nettoyer des éléments identifiés comme indésirables, suivez les indications affichées et conservez le rapport lorsqu'il est disponible.
8. Redémarrez uniquement lorsque l'outil le demande et que cela ne compromet pas la conservation d'éléments nécessaires à une investigation.

Que peut apporter cette première étape ?

Elle peut aider à repérer des modifications indésirables du navigateur ou des éléments publicitaires associés à une infection secondaire. En revanche, un rapport propre ne permet pas d'affirmer que DarkMe est absent du système.

↑ Retour au sommaire

11. Deuxième vérification : utiliser AdwCleaner

AdwCleaner est principalement conçu pour rechercher des adwares, des programmes potentiellement indésirables (PUP/PUA), des extensions intrusives et certaines modifications de navigateur.

Il peut compléter le contrôle précédent, notamment si l'installation du malware s'est accompagnée de logiciels indésirables ou de changements du navigateur. Il ne remplace toutefois pas une analyse spécialisée d'un RAT.

Consulter le guide AdwCleaner sur PC Sans Virus

Procédure d'analyse avec AdwCleaner

1. Ouvrez le guide PC Sans Virus et récupérez AdwCleaner depuis la source officielle indiquée.
2. Lancez l'application téléchargée. Selon la version, aucune installation classique ne sera nécessaire.
3. Acceptez les conditions d'utilisation et attendez l'initialisation de l'outil.
4. Cliquez sur le bouton d'analyse pour rechercher les éléments indésirables.
5. Laissez l'analyse se terminer sans fermer la fenêtre.
6. Consultez les résultats : services, dossiers, fichiers, tâches planifiées, clés de registre ou extensions peuvent être présentés selon les détections réalisées.
7. Vérifiez les éléments signalés. Si un composant vous paraît légitime ou indispensable, ne le supprimez pas sans vérification.
8. Appliquez le nettoyage proposé pour les éléments clairement identifiés comme indésirables, puis suivez les instructions de redémarrage si elles apparaissent.
9. Consultez le rapport final et conservez-le pour comparer les résultats avec les analyses suivantes.

Pourquoi AdwCleaner ne suffit-il pas ?

AdwCleaner est utile contre de nombreuses nuisances publicitaires, mais DarkMe est un cheval de Troie d'accès distant. Un RAT peut ne pas présenter les caractéristiques d'un adware ou d'un pirate de navigateur. L'absence de détection par AdwCleaner ne doit donc pas être interprétée comme une preuve de désinfection.

↑ Retour au sommaire

12. Troisième vérification : effectuer une analyse avec Malwarebytes

Malwarebytes est un outil antimalware qui peut rechercher différentes catégories de logiciels malveillants et de programmes potentiellement indésirables. Il constitue une étape complémentaire intéressante après les contrôles ciblés sur les adwares.

La détection dépend de la version du logiciel, de la mise à jour de sa base, de ses capacités d'analyse et des caractéristiques de l'échantillon rencontré. Aucun résultat négatif ne permet d'exclure formellement une compromission avancée.

Consulter le guide Malwarebytes sur PC Sans Virus

Comment lancer une analyse Malwarebytes ?

1. Depuis un appareil sain, consultez le guide PC Sans Virus pour télécharger Malwarebytes depuis sa source officielle.
2. Installez le programme sur le PC à contrôler uniquement lorsque la situation permet de le faire en sécurité.
3. Ouvrez Malwarebytes et effectuez les mises à jour proposées si l'ordinateur peut être reconnecté sans risque. Dans le cas contraire, demandez conseil avant de rétablir la connexion.
4. Accédez à la rubrique d'analyse et sélectionnez le contrôle disponible dans votre version.
5. Lancez l'analyse des fichiers, des processus et des zones prises en charge par le logiciel.
6. Attendez la fin du contrôle. Ne fermez pas l'application pendant l'examen.
7. Examinez les détections, leurs noms et leurs emplacements. Une détection générique ne doit pas être confondue automatiquement avec une identification certaine de DarkMe.
8. Placez en quarantaine les éléments confirmés comme malveillants ou suivez les recommandations du logiciel.
9. Redémarrez si Malwarebytes le demande, puis vérifiez que la protection et les mises à jour fonctionnent normalement.
10. Enregistrez le rapport d'analyse lorsqu'il est proposé.

Que faire si Malwarebytes détecte un cheval de Troie ?

Ne restaurez pas le fichier détecté. Laissez-le en quarantaine et notez le nom exact de la menace, le chemin du fichier et l'action réalisée. Si l'alerte concerne un RAT ou un outil d'accès distant, poursuivez les vérifications et envisagez une assistance spécialisée.

Pour approfondir les possibilités de l'outil, consultez également le tutoriel Malwarebytes : utilisation, avantages et limites.

↑ Retour au sommaire

13. Quatrième vérification : compléter avec ESET Online Scanner

ESET Online Scanner est un outil d'analyse antivirus à la demande qui permet de rechercher des menaces sur un ordinateur Windows. Il constitue une vérification complémentaire, notamment lorsque plusieurs contrôles ont déjà été effectués.

Il ne faut pas confondre une analyse antivirus complémentaire avec un audit complet de compromission. Un RAT avancé peut avoir effacé certains fichiers, modifié son comportement ou utilisé des techniques qui compliquent sa détection.

Consulter le guide ESET Online Scanner

Étapes pour analyser le PC avec ESET

1. Consultez le tutoriel PC Sans Virus consacré à ESET Online Scanner.
2. Téléchargez l'utilitaire depuis la source officielle indiquée dans le guide.
3. Lancez le programme et acceptez les conditions nécessaires à son fonctionnement.
4. ESET Online Scanner doit pouvoir accéder à Internet pour récupérer les composants et les signatures nécessaires à son analyse. Ne reconnectez pas un ordinateur dont la compromission est sérieusement suspectée uniquement pour lancer cet outil. Dans ce cas, demandez conseil à un spécialiste ou faites réaliser le contrôle depuis un environnement maîtrisé.
5. Choisissez le type d'analyse adapté à votre situation. Une analyse approfondie peut être préférable lorsqu'une infection est suspectée.
6. Lancez le contrôle et laissez-le examiner les emplacements sélectionnés.
7. À la fin de l'analyse, consultez la liste des menaces détectées et les actions proposées.
8. Appliquez les mesures recommandées pour les éléments malveillants confirmés et conservez le rapport.
9. Redémarrez si nécessaire, puis vérifiez l'état de Sécurité Windows et du logiciel antivirus résident.

Comment interpréter le résultat final ?

Si ESET ne détecte rien, cela constitue un résultat rassurant, mais pas une preuve absolue que l'ordinateur n'a jamais été compromis. Si un fichier malveillant est détecté et supprimé, il reste nécessaire de contrôler les comptes, les sessions ouvertes, les logiciels installés et les éventuels mécanismes de persistance.

Si des symptômes persistent ou si un accès distant non autorisé est confirmé, ne vous contentez pas de répéter les mêmes analyses. Faites examiner le système par un professionnel ou envisagez une réinstallation propre de Windows.

↑ Retour au sommaire

14. Contrôles complémentaires sous Windows

Après les analyses antivirus, certains contrôles peuvent aider à vérifier que Windows n'a pas conservé de configuration anormale. Ils doivent être réalisés avec prudence : la présence d'un composant système n'est pas suspecte par nature.

Vérifier les mises à jour Windows

Une fois l'ordinateur jugé suffisamment sûr pour être reconnecté, ouvrez Paramètres → Windows Update et installez les mises à jour de sécurité disponibles. Redémarrez si nécessaire.

Les correctifs réduisent les risques liés aux vulnérabilités connues. Ils ne suppriment cependant pas automatiquement un malware déjà installé.

Consulter le guide des mises à jour Windows.

Examiner les tâches planifiées

Le Planificateur de tâches permet à des logiciels légitimes d'effectuer des opérations régulières. Si une tâche inconnue a été créée au moment de l'incident, vérifiez son nom, son éditeur, son action et le chemin du programme lancé.

Ne supprimez pas une tâche uniquement parce que son nom est inhabituel. Certaines tâches appartiennent aux pilotes, aux outils de maintenance ou aux applications installées.

Contrôler les éléments de démarrage et les services

Vérifiez les applications de démarrage et les services récemment ajoutés. Un programme suspect peut tenter de se relancer après un redémarrage. Toutefois, désactiver un service Windows au hasard peut rendre le système instable.

Examiner les fichiers système

Si Windows présente des dysfonctionnements après le nettoyage, les outils intégrés de réparation du système peuvent être utiles. Ils ne remplacent pas une désinfection et ne doivent pas être présentés comme des détecteurs spécifiques de DarkMe.

Pour un diagnostic plus poussé, l'outil FRST peut générer des rapports détaillés. Son utilisation demande de l'expérience : ne lancez pas de script de correction trouvé sur un forum sans comprendre son contenu.

Consulter le guide complet FRST : diagnostic et désinfection.

Quand faut-il réinstaller Windows ?

Une réinstallation propre peut être la solution la plus fiable lorsque la présence d'un RAT est confirmée et que l'étendue de la compromission reste inconnue, notamment si des mécanismes de persistance ont été installés ou si des comptes sensibles ont été utilisés sur l'appareil.

Avant de réinstaller :

• conservez uniquement les documents personnels indispensables ;
• ne sauvegardez pas les exécutables, scripts, raccourcis ou installateurs suspects ;
• analysez les sauvegardes depuis un environnement sain ;
• préparez un support d'installation officiel ;
• réinstallez les applications depuis leurs sites officiels ;
• appliquez toutes les mises à jour avant de restaurer vos usages habituels.

Une simple réinitialisation n'est pas toujours équivalente à une réinstallation propre depuis un support fiable. En cas de compromission importante, demandez conseil à un technicien.

↑ Retour au sommaire

15. Protéger ses comptes et ses données après une infection

Supprimer un fichier malveillant ne suffit pas si des identifiants ont déjà été copiés. La sécurisation des comptes doit donc être menée en parallèle du nettoyage de l'ordinateur.

Changer les mots de passe depuis un appareil sain

Commencez par l'adresse e-mail principale, car elle permet souvent de réinitialiser les autres comptes. Changez ensuite les mots de passe des services financiers, professionnels, cloud et réseaux sociaux.

Utilisez des mots de passe uniques et robustes. Ne réutilisez pas un mot de passe qui était enregistré dans le navigateur ou dans une application utilisée sur le PC suspect.

Révoquer les sessions et les autorisations inconnues

Consultez l'historique des connexions de vos comptes importants. Fermez les sessions que vous ne reconnaissez pas et révoquez les applications tierces auxquelles vous n'avez pas donné votre accord.

Activer une authentification multifacteur

Activez l'authentification multifacteur sur les comptes qui le permettent. Une application d'authentification ou une clé de sécurité peut renforcer la protection. Gardez vos codes de récupération dans un emplacement sûr et séparé de l'ordinateur concerné.

Cas particulier des portefeuilles de cryptomonnaies

Si un portefeuille numérique a été utilisé sur le PC compromis, considérez que les informations accessibles depuis cet appareil ont pu être exposées. Pour les portefeuilles non custodiaux, la phrase de récupération constitue un secret extrêmement sensible : ne la saisissez jamais sur un site reçu par e-mail et ne la communiquez à aucun prétendu technicien.

Si vous pensez qu'une clé privée ou une phrase de récupération a été compromise, demandez conseil auprès d'une source officielle et préparez, depuis un environnement sain, le transfert vers un portefeuille sécurisé. Ne réalisez pas d'opération précipitée sous la pression d'un interlocuteur inconnu.

↑ Retour au sommaire

16. macOS : que vérifier après réception d'un fichier suspect ?

Les campagnes et analyses DarkMe présentées dans ce dossier concernent principalement Windows. Il ne faut donc pas affirmer qu'un Mac est infecté par la variante Windows de DarkMe simplement parce qu'un fichier suspect a été reçu ou téléchargé.

Un Mac peut néanmoins recevoir un fichier Windows malveillant par e-mail, messagerie ou téléchargement. Il peut aussi être concerné par d'autres familles de malwares conçues pour macOS. L'objectif est de vérifier si un programme inconnu a été exécuté et si des données ont été partagées avec un appareil compromis.

1. Ne pas ouvrir le fichier suspect

Si vous avez reçu un fichier PIF, LNK, EXE ou MSI, ne cherchez pas à l'exécuter avec un outil tiers. Ces formats ne sont pas des applications macOS ordinaires. Supprimez le téléchargement uniquement après avoir conservé les informations utiles si un incident doit être signalé.

2. Examiner les applications installées

Ouvrez le dossier Applications et recherchez les programmes récemment installés que vous ne reconnaissez pas. Vérifiez leur provenance et leur éditeur. Ne supprimez pas les composants Apple ou les utilitaires du fabricant sans vérification.

3. Contrôler les éléments d'ouverture

Dans Réglages Système → Général → Ouverture et extensions (le libellé peut varier selon la version de macOS), examinez les applications autorisées à se lancer automatiquement et les éléments en arrière-plan.

4. Vérifier les profils et autorisations

Consultez les réglages de confidentialité et de sécurité. Vérifiez les autorisations accordées aux applications, notamment l'accès à l'écran, aux fichiers, à l'accessibilité, au microphone et à la caméra. Une autorisation inconnue mérite une vérification, mais certaines applications légitimes en ont besoin.

5. Mettre macOS à jour et analyser le Mac

Installez les mises à jour de macOS disponibles depuis les réglages système. Si un comportement suspect persiste, utilisez un outil de sécurité reconnu et compatible avec votre version de macOS, téléchargé depuis le site officiel de son éditeur.

6. Sécuriser les comptes utilisés sur le Mac

Si vous avez ouvert une pièce jointe ou saisi des identifiants après avoir reçu un message suspect, changez les mots de passe concernés depuis un autre appareil sain. Vérifiez les connexions récentes et les sessions actives.

Pour découvrir les particularités des logiciels de nettoyage sur Mac, consultez notre dossier AdwareMedic : histoire et évolution du nettoyeur pour Mac.

↑ Retour au sommaire

17. Vérifier et sécuriser un smartphone Android

Les analyses de DarkMe présentées ici décrivent principalement un malware destiné à Windows. Cela ne signifie pas qu'un smartphone Android est automatiquement concerné par cette variante. En revanche, un téléphone peut recevoir le même message frauduleux, télécharger une pièce jointe dangereuse ou être exposé à une autre menace mobile.

1. Ne pas installer l'application ou le fichier reçu

Évitez les fichiers APK envoyés par message, les applications de trading non officielles et les prétendus outils de sécurité proposés par des inconnus. Installez les applications uniquement depuis une source fiable et vérifiez le nom de l'éditeur.

2. Examiner les applications installées

1. Ouvrez les paramètres Android.
2. Accédez à la rubrique Applications.
3. Examinez les applications récemment installées.
4. Recherchez celles dont vous ne reconnaissez ni le nom ni l'éditeur.
5. Vérifiez les autorisations accordées aux applications.

3. Contrôler les autorisations sensibles

Vérifiez particulièrement les droits d'accessibilité, d'administration de l'appareil, d'accès aux notifications, aux SMS, au microphone, à la caméra et aux fichiers. Une application inconnue qui dispose de droits très étendus doit être examinée avec attention.

4. Utiliser Google Play Protect

Ouvrez le Google Play Store, accédez à votre profil puis à Play Protect et lancez une vérification. Installez les mises à jour Android et celles des applications disponibles.

5. Supprimer une application réellement suspecte

Si une application inconnue est identifiée comme malveillante, révoquez d'abord ses droits d'administration ou d'accessibilité si nécessaire, puis désinstallez-la. Si elle résiste à la suppression ou si le téléphone présente des comportements anormaux persistants, demandez une assistance technique.

6. Protéger les comptes

Depuis un appareil sain, modifiez les mots de passe potentiellement exposés, contrôlez les sessions ouvertes et activez l'authentification multifacteur. Si des informations bancaires ont été saisies sur une page suspecte, contactez votre établissement bancaire.

Pour aller plus loin, consultez notre dossier sur les applications Android dangereuses et les risques liés aux téléchargements.

↑ Retour au sommaire

18. iPhone et iPad : les bons réflexes

Les variantes DarkMe décrites dans les rapports techniques cités dans cet article ciblent Windows. Il ne faut donc pas présenter DarkMe comme un malware iOS confirmé. Les utilisateurs d'iPhone et d'iPad peuvent toutefois être ciblés par des liens de phishing, de fausses applications, des profils de configuration abusifs ou d'autres menaces mobiles.

1. Ne pas ouvrir les pièces jointes douteuses

Ne touchez pas aux liens et fichiers inattendus reçus par SMS, e-mail ou messagerie. Une page qui imite Apple, une banque ou un service de cryptomonnaie peut chercher à voler vos identifiants sans installer de malware classique.

2. Vérifier les applications

Examinez les applications installées et supprimez celles dont vous ne connaissez pas l'origine. Vérifiez les abonnements et les achats inattendus dans les réglages de votre compte Apple.

3. Examiner les profils de configuration

Ouvrez Réglages → Général → VPN et gestion de l'appareil. Vérifiez la présence de profils de configuration ou de gestion que vous n'avez pas volontairement installés. Ne supprimez pas un profil professionnel ou scolaire sans vérifier auprès de l'administrateur concerné.

4. Mettre iOS ou iPadOS à jour

Ouvrez Réglages → Général → Mise à jour logicielle et installez les mises à jour disponibles. Les correctifs réduisent les risques liés aux vulnérabilités connues.

5. Protéger son compte Apple

Si vous avez saisi votre mot de passe sur une page suspecte, modifiez-le depuis un appareil fiable, vérifiez les appareils associés au compte et supprimez ceux que vous ne reconnaissez pas. Activez l'authentification à deux facteurs si elle ne l'est pas déjà.

6. Réinitialiser seulement si nécessaire

Une réinitialisation complète n'est pas le premier réflexe à adopter après un simple message frauduleux. Elle peut devenir pertinente si l'appareil présente des anomalies persistantes ou si une assistance spécialisée la recommande. Sauvegardez uniquement des données fiables et veillez à ne pas restaurer une configuration suspecte.

↑ Retour au sommaire

19. Comment éviter une nouvelle infection par DarkMe ?

La meilleure protection contre un cheval de Troie d'accès distant consiste à réduire les possibilités d'exécution d'un fichier malveillant, à maintenir les logiciels à jour et à protéger les comptes qui donnent accès aux données importantes.

Se méfier des fichiers inattendus

Ne lancez jamais un fichier simplement parce qu'il est présenté comme une image, un graphique, un document ou un outil financier. Vérifiez l'extension réelle, l'expéditeur et le contexte. Une archive ZIP ou RAR peut contenir un exécutable dangereux même si le fichier compressé paraît banal.

Télécharger les logiciels depuis leurs éditeurs

Évitez les plateformes de téléchargement inconnues, les cracks, les générateurs de licences et les outils de trading distribués par des interlocuteurs non vérifiés. Préférez les sites officiels et les boutiques reconnues.

Maintenir Windows et les applications à jour

Installez les correctifs de Windows, du navigateur, de WinRAR et des autres applications. Les mises à jour corrigent des failles que des attaquants peuvent exploiter.

Conserver une protection antivirus active

Vérifiez que la protection en temps réel de votre antivirus fonctionne et que ses signatures sont à jour. Évitez d'installer plusieurs antivirus résidents concurrents, qui peuvent provoquer des conflits.

Sécuriser les comptes financiers

Utilisez des mots de passe uniques, une authentification multifacteur et des notifications de connexion. Pour les portefeuilles de cryptomonnaies, protégez les clés privées et les phrases de récupération hors ligne.

Effectuer des sauvegardes régulières

Conservez plusieurs copies de vos documents importants, dont au moins une sauvegarde déconnectée de l'ordinateur. Une sauvegarde qui reste constamment accessible au PC peut également être affectée par un malware.

Limiter les droits d'administration

Utilisez un compte standard pour les activités quotidiennes lorsque cela est possible. N'accordez pas des privilèges administrateur à un programme dont l'origine n'est pas vérifiée.

Retrouvez d'autres recommandations dans notre guide complet pour sécuriser un PC Windows contre les menaces.

↑ Retour au sommaire

20. Questions fréquentes sur DarkMe RAT

Voici les réponses aux questions les plus courantes concernant le cheval de Troie DarkMe, ses capacités, les risques d'espionnage et les méthodes de désinfection.

↑ Retour au sommaire

21. Conclusion : retrouver un environnement numérique sûr

DarkMe RAT est une menace sérieuse parce qu'elle ne se limite pas à perturber le fonctionnement d'un ordinateur. Selon la variante et les capacités activées, un cheval de Troie d'accès distant peut permettre à un attaquant de collecter des informations, d'interagir avec des fichiers et de communiquer avec un système compromis.

Les campagnes documentées montrent également que les méthodes d'infection évoluent. Un fichier présenté comme une image, une archive reçue dans une messagerie ou un prétendu outil financier peut servir de point de départ à une compromission. Il est donc essentiel de vérifier les fichiers avant de les exécuter.

Pour contrôler un ordinateur suspect, ZHPCleaner, AdwCleaner, Malwarebytes et ESET Online Scanner apportent des vérifications complémentaires. Ils ne remplacent toutefois pas une investigation spécialisée lorsqu'un RAT est confirmé. La protection des comptes, la révocation des sessions, la sauvegarde prudente des documents et, si nécessaire, la réinstallation propre de Windows font partie de la réponse à l'incident.

Enfin, gardez vos systèmes à jour, téléchargez vos logiciels depuis leurs sources officielles et ne communiquez jamais vos mots de passe ou vos phrases de récupération à un interlocuteur inconnu. Ces précautions réduisent fortement les risques d'une nouvelle compromission.

Articles recommandés pour renforcer votre sécurité

Pour approfondir les méthodes d'attaque, mieux protéger vos comptes et savoir réagir face à une infection, voici six guides complémentaires de PC Sans Virus.

Sources techniques et recherches sur DarkMe

Les informations techniques relatives aux campagnes, aux méthodes de diffusion et aux capacités attribuées à DarkMe s'appuient notamment sur les recherches suivantes :

• Huntress – DarkMe RAT : analyse d'une campagne de 2026 et évolution des méthodes d'infection.
• Kaspersky – Campagne de diffusion de DarkMe via Telegram et ciblage des utilisateurs du secteur financier.
• SonicWall – Analyse technique de DarkMe RAT et de sa chaîne d'exécution.

Les capacités décrites peuvent varier selon les échantillons et les campagnes. Les résultats d'un outil de désinfection doivent toujours être interprétés en fonction du contexte de l'incident.