Trojan:PowerShell/Boxter : détecter le cheval de Troie et supprimer l'infection

1. Qu'est-ce que Trojan:PowerShell/Boxter ?

Trojan:PowerShell/Boxter est une désignation de détection utilisée dans l'écosystème de sécurité Microsoft pour signaler du contenu PowerShell jugé malveillant. Elle doit être interprétée à partir des informations fournies par l'antivirus : fichier concerné, emplacement, action effectuée et éventuelles nouvelles détections.

Le terme « Trojan » désigne un cheval de Troie, c'est-à-dire un programme ou un contenu malveillant qui peut être présenté comme légitime ou exécuté à l'insu de l'utilisateur. Le terme « PowerShell » indique que la détection concerne cette technologie de script ou son utilisation.

Il serait toutefois incorrect d'affirmer que chaque détection Boxter vole des mots de passe, installe une porte dérobée ou télécharge un ransomware. Ces comportements sont possibles pour certaines menaces utilisant PowerShell, mais ils ne sont pas établis par ce seul nom.

PowerShell est-il dangereux ?

Non, pas en lui-même. PowerShell est un outil d'administration et d'automatisation développé par Microsoft. Il permet notamment de gérer des fichiers, des services, des paramètres Windows et des tâches administratives.

Des administrateurs et des logiciels légitimes l'utilisent quotidiennement. Les cybercriminels peuvent cependant détourner ses capacités pour exécuter des instructions malveillantes.

Pour mieux comprendre cette catégorie de menace, consultez notre dossier consacré aux chevaux de Troie, à leur fonctionnement et à leurs risques.

2. Comment une attaque utilisant PowerShell peut-elle fonctionner ?

Une infection impliquant PowerShell ne repose pas nécessairement sur un fichier exécutable classique. Un script peut être lancé depuis un fichier, une tâche planifiée, une application compromise ou une commande introduite par tromperie.

Exécution d'un script malveillant

Un attaquant peut chercher à faire exécuter des instructions qui téléchargent un autre composant, modifient des paramètres ou déclenchent une activité non autorisée. La nature exacte de ces opérations dépend du script.

Commandes dissimulées ou difficiles à lire

Certains scripts malveillants utilisent des chaînes encodées, des variables assemblées dynamiquement ou des techniques d'obfuscation pour compliquer leur analyse. Ces techniques ne prouvent pas automatiquement une infection : elles existent aussi dans des usages administratifs légitimes.

Persistance après le redémarrage

Une menace peut tenter de se relancer à chaque ouverture de session ou à intervalles réguliers. Les mécanismes possibles comprennent :

• Une tâche planifiée Windows.
• Une entrée de démarrage automatique.
• Un script appelé par un autre programme.
• Un service ou un composant logiciel installé à l'insu de l'utilisateur.

Communication avec une infrastructure distante

Selon les fonctionnalités du code malveillant, une connexion réseau peut servir à récupérer des instructions ou d'autres fichiers. Il ne faut toutefois pas déduire l'existence d'une communication distante sans éléments techniques concordants.

3. Quels sont les symptômes possibles d'une infection ?

Une menace PowerShell peut être détectée sans produire de symptôme visible. Inversement, un ordinateur lent ou une fenêtre PowerShell qui apparaît brièvement n'est pas nécessairement infecté.

Si plusieurs comportements inhabituels apparaissent simultanément, notre guide des 20 vérifications à effectuer lorsqu'un PC se comporte bizarrement peut compléter le diagnostic.

Il faut surtout rechercher des indices concordants plutôt que de considérer chaque ralentissement comme la preuve de Trojan:PowerShell/Boxter.

4. Comment Trojan:PowerShell/Boxter peut-il arriver sur Windows ?

Sans connaître le fichier initial et les événements précédant la détection, il n'est pas possible d'attribuer une origine précise à Boxter. Plusieurs vecteurs sont néanmoins connus pour être utilisés dans les attaques reposant sur PowerShell.

Faux CAPTCHA et arnaques ClickFix

Certains sites affichent une prétendue vérification humaine et demandent à l'utilisateur de copier une commande, d'ouvrir une fenêtre Windows ou de coller du contenu dans un terminal.

Cette manipulation peut conduire à exécuter des instructions dangereuses. Découvrez notre guide sur l'arnaque ClickFix et les commandes malveillantes à ne jamais copier.

Logiciels piratés et installateurs modifiés

Les cracks, activateurs non officiels et installateurs téléchargés depuis des sources douteuses peuvent contenir des scripts ou des programmes additionnels malveillants.

Pièces jointes et liens frauduleux

Un document ou une archive reçu par courrier électronique peut servir de point d'entrée, notamment lorsqu'il pousse l'utilisateur à lancer un fichier ou à contourner une protection.

Applications compromises et vulnérabilités

Dans certains scénarios, un logiciel vulnérable ou compromis peut lancer un processus PowerShell sans intervention directe de l'utilisateur.

5. Les premiers gestes avant de désinfecter Windows

La priorité consiste à empêcher une éventuelle activité malveillante supplémentaire tout en conservant les informations utiles au diagnostic.

1. Déconnectez temporairement Internet si l'alerte est active, récurrente ou accompagnée de signes de compromission. Coupez le Wi-Fi ou débranchez le câble Ethernet.
2. Ne saisissez plus de mots de passe sensibles sur l'ordinateur tant que son état de sécurité reste incertain.
3. Notez les informations de détection : nom exact, chemin, date, action de Microsoft Defender et éventuel code d'erreur.
4. Enregistrez les documents indispensables si une sauvegarde est nécessaire, sans copier d'exécutables, de scripts suspects ou d'archives inconnues.
5. Évitez les nettoyeurs automatiques du registre et les commandes de suppression trouvées sur des forums sans diagnostic préalable.
6. Préparez les outils de sécurité depuis leurs sites officiels, au besoin à partir d'un autre appareil sain.

Si une activité de chiffrement de fichiers est en cours, si des données professionnelles sensibles sont concernées ou si un attaquant semble contrôler la machine, privilégiez l'isolement et une assistance spécialisée avant de poursuivre.

Une sauvegarde récente et fiable est précieuse, mais elle doit être analysée avant toute restauration sur un système nettoyé.

6. Vérifier Trojan:PowerShell/Boxter avec Microsoft Defender

Microsoft Defender constitue le premier point de contrôle lorsqu'il est à l'origine de la détection. Son historique permet de savoir si la menace a été bloquée, mise en quarantaine ou si une intervention reste nécessaire.

Étape 1 : consulter l'historique de protection

1. Ouvrez le menu Démarrer.
2. Recherchez Sécurité Windows.
3. Sélectionnez Protection contre les virus et menaces.
4. Ouvrez Historique de protection.
5. Recherchez la détection Trojan:PowerShell/Boxter.
6. Développez les informations disponibles pour identifier l'emplacement et l'action réalisée.

Une détection peut concerner un fichier téléchargé, un script présent sur le disque ou un contenu observé pendant son exécution. Le chemin indiqué est souvent plus utile pour l'enquête que le seul nom de menace.

Étape 2 : comprendre l'action effectuée

• Menace mise en quarantaine : le contenu a été isolé par l'antivirus.
• Menace supprimée : Defender indique avoir retiré l'élément détecté.
• Menace bloquée : une activité ou un accès a été empêché.
• Action nécessaire : une intervention complémentaire peut être demandée.
• Correction incomplète : il faut examiner les détails et effectuer une nouvelle analyse.

Ne sélectionnez pas « Autoriser sur l'appareil » et ne restaurez pas un fichier en quarantaine sans preuve solide de sa légitimité.

Une détection signifie-t-elle que le PC est infecté ?

Pas nécessairement. Microsoft Defender peut détecter et bloquer un fichier avant son exécution. Dans ce cas, l'alerte ne prouve pas que le cheval de Troie a réellement fonctionné sur l'ordinateur.

En revanche, si le script a été exécuté, si des éléments suspects persistent ou si les alertes reviennent après redémarrage, une investigation plus approfondie est nécessaire.

L'historique de protection, les chemins détectés, les événements système et les rapports antivirus permettent de mieux distinguer une tentative bloquée d'une compromission effective.

Étape 3 : lancer une analyse complète

1. Dans Protection contre les virus et menaces, ouvrez les options d'analyse.
2. Sélectionnez Analyse complète.
3. Lancez l'examen et laissez-le se terminer.
4. Appliquez les actions recommandées après avoir examiné les résultats.
5. Redémarrez si Windows le demande.

Étape 4 : utiliser Microsoft Defender hors ligne si nécessaire

En présence de détections persistantes ou de difficultés de suppression, l'analyse Microsoft Defender hors ligne peut être utile. Elle redémarre l'ordinateur dans un environnement de contrôle distinct de la session Windows habituelle.

Enregistrez votre travail, assurez-vous de disposer de la clé de récupération BitLocker si le disque est chiffré, puis choisissez Analyse Microsoft Defender hors ligne dans les options d'analyse lorsqu'elle est disponible.

Après le redémarrage, consultez de nouveau l'historique de protection.

7. Rechercher les scripts suspects et les mécanismes de persistance

Cette étape différencie une simple suppression de fichier d'une véritable investigation. L'objectif n'est pas de supprimer tout ce qui utilise PowerShell, mais d'identifier ce qui pourrait déclencher une nouvelle exécution malveillante.

Examiner les tâches planifiées

1. Appuyez sur Windows + R.
2. Saisissez taskschd.msc et validez.
3. Ouvrez la Bibliothèque du Planificateur de tâches.
4. Examinez les tâches récemment créées ou modifiées.
5. Consultez leurs déclencheurs, leurs actions et leur emplacement.

Une tâche qui lance PowerShell n'est pas automatiquement malveillante. Vérifiez notamment si elle correspond à un logiciel installé, à un outil d'administration ou à une fonction Windows connue.

Une tâche inconnue qui relance exactement le script signalé par Defender mérite une investigation approfondie.

Contrôler les programmes au démarrage

Ouvrez le Gestionnaire des tâches, puis la section des applications de démarrage. Recherchez les éléments inconnus, les noms trompeurs ou les applications récemment ajoutées.

La désactivation d'un élément suspect peut empêcher son lancement automatique, mais elle ne supprime pas nécessairement tous les composants de l'infection.

Vérifier les exclusions de Microsoft Defender

Certains logiciels malveillants cherchent à contourner la surveillance antivirus en ajoutant des exclusions pour des fichiers, des dossiers ou des processus. Cette technique n'est pas spécifiquement attribuée à Trojan:PowerShell/Boxter, mais elle mérite une vérification lorsqu'une compromission est suspectée.

1. Ouvrez Sécurité Windows.
2. Accédez à Protection contre les virus et menaces.
3. Dans les paramètres de protection, sélectionnez Gérer les paramètres.
4. Recherchez la rubrique Exclusions, puis ouvrez sa gestion.
5. Examinez les exclusions présentes et vérifiez si elles correspondent à des besoins légitimes.
6. Si une exclusion inconnue semble suspecte, recherchez son origine avant toute modification.

Examiner les fichiers concernés

Si Defender fournit un chemin, relevez-le précisément. Les emplacements temporaires, les dossiers utilisateur et les répertoires de téléchargement peuvent contenir des fichiers suspects, mais leur présence n'est pas une preuve suffisante.

Ne supprimez pas arbitrairement le contenu de System32, des dossiers PowerShell ou des répertoires système.

Utiliser FRST pour un diagnostic avancé

Lorsque l'alerte revient malgré les analyses, FRST (Farbar Recovery Scan Tool) peut aider à examiner les tâches, services, démarrages automatiques et autres éléments de persistance.

FRST est un outil puissant : ses rapports doivent être interprétés avec méthode. N'utilisez jamais un script de correction FRST destiné à un autre ordinateur, car une mauvaise correction peut endommager Windows.

8. Désinfecter Windows avec quatre outils complémentaires

Après le premier contrôle de Microsoft Defender, une analyse complémentaire permet de rechercher des composants que le premier examen n'a pas identifiés.

Pour Trojan:PowerShell/Boxter, nous privilégions d'abord les outils antimalwares généralistes, puis les nettoyeurs spécialisés dans les programmes indésirables et les modifications du navigateur.

Les quatre logiciels sont présentés pour couvrir différents scénarios. Il n'est pas toujours nécessaire de tous les exécuter : les résultats du diagnostic doivent guider leur utilisation.

9. Contrôler les navigateurs et les téléchargements

Une menace PowerShell peut provenir d'un téléchargement ou d'une manipulation réalisée dans le navigateur. Même après suppression du script, il est utile de contrôler l'environnement qui a permis son exécution.

Vérifier les extensions

Dans Chrome, Edge ou Firefox, ouvrez la gestion des extensions et recherchez celles qui ont été ajoutées récemment ou que vous ne reconnaissez pas.

Supprimez uniquement les extensions non désirées après vérification de leur origine. Notre dossier sur les extensions malveillantes et la sécurisation du navigateur explique les principaux contrôles à effectuer.

Contrôler les téléchargements récents

Examinez les fichiers téléchargés avant l'apparition de l'alerte, notamment les archives, installateurs, scripts et prétendus outils de réparation.

Ne les exécutez pas pour les tester. Si leur origine est douteuse, conservez uniquement les informations nécessaires au diagnostic et laissez l'antivirus gérer les fichiers malveillants.

Examiner les notifications et autorisations

Vérifiez les sites autorisés à envoyer des notifications, les pages de démarrage, les moteurs de recherche et les autorisations sensibles accordées aux extensions.

Une notification trompeuse ou une redirection publicitaire n'est pas automatiquement liée à Boxter, mais elle peut révéler un autre problème de sécurité.

Réinitialiser le navigateur si nécessaire

Si les paramètres restent détournés après le nettoyage, utilisez la fonction de réinitialisation intégrée au navigateur, après avoir sauvegardé les données nécessaires et vérifié les conséquences sur les extensions et préférences.

10. Comment vérifier que Trojan:PowerShell/Boxter a disparu ?

La disparition d'une fenêtre d'alerte ne suffit pas à démontrer que l'ordinateur est entièrement sain. Il faut vérifier plusieurs éléments après la désinfection.

Contrôle après redémarrage

1. Redémarrez Windows normalement.
2. Vérifiez que Microsoft Defender est actif et à jour.
3. Consultez l'historique de protection.
4. Effectuez une nouvelle analyse antivirus.
5. Vérifiez que les tâches ou programmes suspects identifiés précédemment ne se relancent pas.
6. Contrôlez le fonctionnement des applications habituelles.
7. Surveillez l'apparition d'éventuelles nouvelles alertes.

Si la détection revient

Comparez les nouvelles informations avec les précédentes : même chemin, même fichier, même tâche ou nouvel emplacement.

Si le fichier est recréé automatiquement, il peut subsister un déclencheur ou un autre composant malveillant. Une analyse des journaux et des mécanismes de démarrage devient alors prioritaire.

Quand envisager une réinstallation de Windows ?

Une réinstallation propre peut être la solution la plus fiable lorsqu'une compromission importante est confirmée, que l'intégrité du système ne peut plus être établie ou que les tentatives de désinfection échouent.

Avant cette opération, sauvegardez les documents indispensables, préparez les supports d'installation officiels et prévoyez la réinstallation des logiciels depuis des sources fiables.

11. Protéger les mots de passe et les données après une infection

Une détection de cheval de Troie ne prouve pas à elle seule qu'un vol d'identifiants a eu lieu. Cependant, lorsqu'un script malveillant a réellement été exécuté, il est prudent d'évaluer les risques pour les comptes utilisés sur l'ordinateur.

Changer les mots de passe depuis un appareil sain

Si une compromission est plausible, utilisez un autre appareil fiable pour modifier en priorité les mots de passe de la messagerie principale, des comptes Microsoft ou Google, des services financiers et des autres comptes sensibles.

Activer une authentification renforcée

Activez l'authentification multifacteur lorsque le service la propose, idéalement avec une application d'authentification ou une clé de sécurité.

Contrôler les sessions ouvertes

Examinez les appareils connectés et les activités récentes. Révoquez les sessions inconnues et vérifiez les informations de récupération des comptes.

Pour approfondir ces mesures, consultez notre article sur le vol de cookies de session et les limites de la double authentification.

Surveiller les conséquences éventuelles

Restez attentif aux messages de connexion inconnue, demandes de réinitialisation non sollicitées et modifications de paramètres de compte.

Si des données professionnelles ou confidentielles sont concernées, contactez le responsable informatique ou le service compétent pour évaluer les obligations de signalement.

12. Trojan:PowerShell/Boxter peut-il infecter macOS ?

Le nom Trojan:PowerShell/Boxter correspond à une détection associée à l'environnement de sécurité Microsoft. Il ne faut pas en conclure qu'une infection portant exactement cette désignation est présente sur macOS.

PowerShell existe aussi sur d'autres systèmes, dont macOS, mais cela ne signifie pas que ce cheval de Troie précis les cible.

Procédure de vérification sur Mac

1. Mettez macOS à jour depuis les réglages système.
2. Examinez les applications installées récemment.
3. Supprimez les logiciels suspects après vérification de leur origine.
4. Contrôlez les éléments d'ouverture et les autorisations accordées aux applications.
5. Vérifiez les extensions de Safari, Chrome ou Firefox.
6. Examinez les profils de configuration inconnus, si le Mac en possède.
7. Utilisez un outil antimalware reconnu et compatible avec votre version de macOS si des signes d'infection persistent.

Ne supprimez pas les fichiers système ni les profils de gestion d'une entreprise ou d'un établissement scolaire sans autorisation.

Les outils Windows présentés plus haut ne doivent pas être exécutés sur macOS comme s'ils étaient compatibles avec ce système.

13. Comment vérifier et désinfecter un smartphone Android ?

Trojan:PowerShell/Boxter n'est pas une désignation permettant d'affirmer qu'un téléphone Android est infecté. En revanche, si un smartphone a été utilisé pour télécharger un fichier suspect, ouvrir un lien frauduleux ou accéder à des comptes compromis, des vérifications sont utiles.

Étape 1 : mettre Android à jour

Ouvrez les paramètres du téléphone et recherchez les mises à jour du système ainsi que les correctifs de sécurité disponibles.

Étape 2 : contrôler les applications

Examinez les applications récemment installées. Désinstallez celles dont l'origine est douteuse, en particulier les APK provenant de sites inconnus.

Étape 3 : utiliser Google Play Protect

Dans le Google Play Store, ouvrez votre profil, puis Play Protect. Lancez une analyse lorsque cette option est proposée.

Étape 4 : vérifier les autorisations sensibles

Contrôlez notamment les services d'accessibilité, les applications administratrices de l'appareil, les autorisations d'installation d'applications inconnues et les accès aux notifications.

Étape 5 : nettoyer le navigateur

Retirez les autorisations de notification accordées aux sites suspects, fermez les pages trompeuses et effacez les données de navigation concernées si nécessaire.

Étape 6 : réinitialiser en dernier recours

Si une compromission importante persiste malgré les vérifications, sauvegardez les données personnelles indispensables, puis envisagez une réinitialisation d'usine.

Après la réinitialisation, réinstallez les applications depuis des sources fiables, sans restaurer automatiquement un APK suspect.

14. Que faire sur iPhone ou iPad en cas de suspicion d'infection ?

Sur iOS et iPadOS, les mécanismes de sécurité diffèrent de ceux de Windows. Une alerte affichée dans Safari affirmant que l'iPhone est infecté par Trojan:PowerShell/Boxter est particulièrement suspecte : une page web ne peut pas établir à elle seule un diagnostic antivirus fiable de l'appareil.

Fermer une fausse alerte

1. Ne touchez pas les boutons de téléchargement ou de paiement proposés par la page.
2. Fermez l'onglet concerné.
3. Effacez les données du site si les messages réapparaissent.
4. Vérifiez les extensions et réglages de Safari.

Mettre iOS ou iPadOS à jour

Dans Réglages > Général > Mise à jour logicielle, installez les correctifs disponibles pour votre appareil.

Contrôler les profils et VPN

Consultez Réglages > Général > VPN et gestion de l'appareil lorsque cette rubrique est disponible. Examinez les profils inconnus, sans supprimer les configurations légitimes d'une organisation.

Vérifier le compte Apple

Contrôlez les appareils associés à votre compte Apple, les méthodes d'authentification et les alertes de connexion.

Envisager une restauration

Si des signes sérieux de compromission subsistent, contactez l'assistance Apple ou un spécialiste qualifié. Une restauration complète peut être envisagée selon les circonstances.

Les applications antivirus classiques sur iPhone ne disposent pas du même accès au système que les antivirus Windows. Elles ne peuvent donc pas effectuer une analyse complète de tous les processus et fichiers internes d'iOS.

15. Comment éviter une nouvelle infection PowerShell ?

La prévention doit agir sur les principaux points d'entrée des malwares, sans désactiver les fonctionnalités légitimes de Windows.

Maintenir Windows et les logiciels à jour

Installez régulièrement les mises à jour du système, des navigateurs, des logiciels bureautiques et des applications exposées à Internet.

Conserver une protection antivirus active

Utilisez Microsoft Defender ou une solution antivirus résidente fiable et correctement configurée. Évitez d'installer plusieurs protections résidentes incompatibles.

Limiter les droits administrateur

Utilisez un compte standard pour les activités courantes lorsque cela est adapté. Réservez les droits administrateur aux opérations qui les nécessitent réellement.

Ne jamais copier une commande inconnue

Un site web, un faux support technique ou un prétendu CAPTCHA ne doit pas vous imposer d'ouvrir PowerShell ou un terminal pour accéder à une page.

Contrôler les logiciels téléchargés

Privilégiez les sites des éditeurs et évitez les installateurs modifiés, activateurs et programmes provenant de publicités trompeuses.

Conserver des sauvegardes indépendantes

Préparez des sauvegardes régulières, dont au moins une copie hors ligne ou protégée contre les modifications non autorisées. Vérifiez périodiquement qu'elles peuvent être restaurées.

Renforcer les paramètres de sécurité

Sur les environnements administrés, les politiques de restriction des applications, les journaux PowerShell et les protections contre les attaques peuvent aider à prévenir ou détecter des abus. Leur configuration doit être adaptée aux besoins du système.

Pour une stratégie plus large, consultez notre guide complet pour sécuriser un PC Windows efficacement.

17. Conclusion : éliminer la menace et retrouver un Windows sécurisé

Face à une alerte Trojan:PowerShell/Boxter, la meilleure stratégie consiste à éviter les conclusions hâtives et à procéder méthodiquement.

Commencez par examiner la détection Microsoft Defender et identifier le fichier ou l'activité concernée. Recherchez ensuite les éventuels mécanismes de persistance, puis complétez le contrôle avec Malwarebytes et ESET Online Scanner lorsque cela est nécessaire.

ZHPCleaner et AdwCleaner peuvent intervenir en complément pour nettoyer des programmes indésirables ou des modifications parasites du navigateur, sans être présentés comme des solutions spécifiques à Boxter.

Enfin, vérifiez les résultats après redémarrage, protégez vos comptes si une compromission est plausible et maintenez Windows à jour.

L'objectif n'est pas seulement de faire disparaître une alerte antivirus, mais de comprendre son origine et de réduire durablement le risque de réinfection.

18. Six articles recommandés pour approfondir votre sécurité

Ces dossiers complémentaires permettent de mieux comprendre les attaques utilisant des scripts, les chevaux de Troie et les techniques de protection de Windows.