Malware fileless : la menace invisible que vos antivirus ne détectent pas

Votre antivirus affiche un scan à 100 %, aucune menace détectée. Pourtant, un attaquant est déjà à l’intérieur de votre réseau, en train d’exfiltrer vos données ou de préparer un ransomware. Comment est-ce possible ? Parce qu’il n’a jamais déposé le moindre fichier suspect sur vos disques. Il s’exécute entièrement en mémoire vive, en détournant des outils que Windows utilise légitimement tous les jours. C’est le principe du malware fileless, l’une des techniques d’attaque les plus difficiles à détecter pour les PME en 2026.

Les antivirus traditionnels reposent sur la détection de signatures : ils comparent les fichiers présents sur le disque à une base de données de menaces connues. Un malware qui ne dépose jamais de fichier échappe mécaniquement à ce mode de détection, quel que soit le niveau de mise à jour de la base de signatures. Cet article explique comment fonctionnent ces attaques, pourquoi elles progressent, et surtout comment une PME peut s’en protéger malgré l’absence de fichier à analyser.

Qu’est-ce qu’un malware fileless ?

Un malware fileless (« sans fichier ») est un code malveillant qui s’exécute directement en mémoire vive (RAM), sans jamais écrire de fichier exécutable sur le disque dur. Au lieu de déposer un programme classique, l’attaquant injecte son code dans un processus légitime déjà en cours d’exécution, ou l’exécute via des outils d’administration natifs de Windows comme PowerShell ou WMI (Windows Management Instrumentation).

Cette approche présente un avantage décisif pour l’attaquant : la quasi-totalité des antivirus grand public et des solutions de sécurité d’entrée de gamme reposent sur l’analyse de fichiers. Pas de fichier, pas de signature à comparer, pas d’alerte. Le malware disparaît par ailleurs souvent au redémarrage de la machine, ce qui complique considérablement l’analyse forensique après coup. Certaines variantes très sophistiquées parviennent malgré tout à assurer une persistance, par exemple via des clés de registre ou des tâches planifiées qui ne contiennent, elles, qu’un script de quelques lignes plutôt qu’un exécutable complet.

Pourquoi les antivirus traditionnels ne détectent pas ces menaces

Les antivirus de première génération, encore largement déployés dans les PME, fonctionnent selon un principe simple : ils scannent les fichiers présents sur le disque et en mémoire au moment de l’exécution, puis comparent leur empreinte (hash) à une base de signatures de malwares connus. Ce modèle a fait ses preuves contre les menaces classiques, mais il présente une faille structurelle face au fileless : il n’y a tout simplement rien à scanner sur le disque.

Pire encore, les outils détournés par les attaquants (PowerShell, WMI, mshta.exe, rundll32.exe) sont tous signés numériquement par Microsoft et considérés comme parfaitement légitimes. Un antivirus classique ne peut pas bloquer PowerShell par défaut sans casser une partie de l’administration système de l’entreprise. C’est précisément cette légitimité apparente qui rend la détection si difficile : le malware ne « ressemble » jamais à un malware, il ressemble à une opération d’administration normale.

Living off the land : détourner vos propres outils

La technique du « living off the land » (littéralement « vivre de la terre ») consiste, pour l’attaquant, à n’utiliser que des binaires et scripts déjà présents et autorisés sur le système ciblé, appelés LOLBins (Living Off the Land Binaries). Cette approche minimise drastiquement les traces exploitables et complique l’attribution de l’attaque.

Concrètement, un attaquant qui obtient un accès initial (via un email de phishing, une vulnérabilité non corrigée ou des identifiants compromis) peut ensuite utiliser PowerShell pour télécharger et exécuter du code directement en mémoire, WMI pour se déplacer latéralement sur le réseau sans laisser de fichier, ou encore certutil.exe (un outil légitime de gestion de certificats) pour télécharger discrètement une charge malveillante depuis un serveur distant. Ces techniques recoupent largement celles décrites dans notre article sur les vulnérabilités zero-day, souvent utilisées comme point d’entrée initial avant le déploiement d’un malware fileless.

Anatomie d’une attaque fileless

Une attaque fileless typique se déroule en plusieurs étapes. L’accès initial se fait le plus souvent via un document Office piégé contenant une macro malveillante, un email de phishing avec un lien vers un site compromis, ou l’exploitation d’une vulnérabilité non corrigée sur un service exposé. La macro ou le script initial ne dépose aucun exécutable : il invoque directement PowerShell avec des paramètres encodés en base64, rendant la commande illisible pour un œil humain et pour de nombreux outils de filtrage basiques.

Une fois exécuté, ce premier script télécharge la suite de la charge malveillante directement en mémoire, sans jamais la sauvegarder sur le disque. L’attaquant établit ensuite une communication avec son infrastructure de commande et contrôle (C2), généralement chiffrée et masquée dans du trafic web ou DNS d’apparence anodine. Il peut alors se déplacer latéralement dans le réseau via WMI ou les protocoles d’administration à distance, escalader ses privilèges, et finalement exfiltrer des données ou déployer un ransomware, souvent plusieurs semaines après l’intrusion initiale, le temps de cartographier discrètement l’environnement.

Malware fileless vs malware traditionnel

Le tableau ci-dessous résume les différences essentielles entre les deux approches, et pourquoi elles exigent des méthodes de détection radicalement différentes.

Les signaux qui doivent alerter

Sans fichier à analyser, la détection repose sur l’observation du comportement du système plutôt que sur celle d’un objet statique. Voici les signaux les plus révélateurs :

• PowerShell exécuté avec des commandes fortement encodées ou obfusquées, ou lancé depuis un processus inhabituel (Word, Excel, un navigateur)
• Connexions réseau sortantes inhabituelles depuis des processus systèmes normalement silencieux
• Utilisation de WMI pour créer des processus à distance sur d’autres machines du réseau
• Pics d’utilisation mémoire ou processeur inexpliqués sur des postes habituellement peu sollicités
• Modifications de clés de registre liées au démarrage automatique, sans mise à jour logicielle correspondante
• Activité administrative (création de comptes, modification de droits) en dehors des horaires ou des personnes habilitées

Le tableau ci-dessous détaille les principaux outils légitimes détournés par les attaquants, aussi appelés LOLBins, et les signaux qui doivent déclencher une investigation.

Se protéger : EDR, XDR et détection comportementale

Face à des menaces qui n’existent qu’en mémoire, la seule réponse efficace consiste à surveiller le comportement des processus plutôt que le contenu du disque. C’est exactement le rôle des solutions EDR (Endpoint Detection and Response) et XDR (Extended Detection and Response), qui analysent en continu les chaînes de processus, les appels système et les connexions réseau pour repérer des séquences anormales, même lorsque chaque étape prise isolément semble légitime.

Notre article pilier EDR vs MDR vs XDR : quelle solution choisir pour une PME détaille les différences entre ces approches et leurs coûts respectifs. Notre comparatif Microsoft Defender vs CrowdStrike vs SentinelOne évalue spécifiquement les capacités de détection comportementale de ces trois solutions, particulièrement pertinentes face au fileless. L’intelligence artificielle joue un rôle central dans cette approche : les modèles de détection d’anomalies apprennent la ligne de base du comportement normal de chaque poste, ce qui permet de repérer un usage inhabituel de PowerShell même en l’absence de toute signature connue. Notre article sur l’UEBA et la détection des comportements suspects par IA approfondit ce principe.

Un point de vigilance mérite d’être souligné pour les PME sensibles à la question de la souveraineté des données : la plupart des EDR/XDR leaders du marché envoient une télémétrie détaillée de l’activité de vos postes (processus exécutés, commandes lancées, connexions réseau) vers le cloud de l’éditeur pour analyse par IA. Lorsque cet éditeur est américain, ces données transitent ou sont potentiellement accessibles dans le cadre du CLOUD Act, même si elles sont hébergées en Europe. Cela ne signifie pas qu’il faille écarter ces solutions, souvent les plus performantes du marché sur la détection comportementale, mais qu’il convient d’interroger précisément votre fournisseur sur la localisation et le traitement de cette télémétrie, en particulier si votre activité manipule des données sensibles.

Solutions et bonnes pratiques pour les PME

Au-delà du déploiement d’un EDR, plusieurs mesures réduisent significativement la surface d’attaque exploitable par un malware fileless. La restriction de PowerShell via des politiques de langage contraint (Constrained Language Mode) et la journalisation renforcée des scripts (Script Block Logging) permettent de limiter et de tracer les usages les plus dangereux sans bloquer les besoins légitimes d’administration. La désactivation des macros par défaut sur les documents Office provenant de sources externes ferme l’un des vecteurs d’entrée les plus courants.

Le patch management reste également déterminant, car de nombreuses attaques fileless commencent par l’exploitation d’une vulnérabilité non corrigée pour obtenir l’accès initial : notre guide du patch management pour PME détaille une méthodologie de priorisation des correctifs. Le principe de moindre privilège, en particulier sur les comptes disposant de droits d’administration sur Active Directory, limite considérablement la capacité de déplacement latéral d’un attaquant ; notre guide de sécurisation d’Active Directory détaille les configurations à privilégier. Enfin, un SOC surveillé 24h/24, humain ou piloté par IA, reste le filet de sécurité le plus fiable pour détecter une activité anormale en temps réel : notre article sur le SOC IA pour PME présente les options accessibles sans budget de grand groupe.

Notre modèle d’audit cybersécurité PME permet d’évaluer où en est votre organisation sur l’ensemble de ces points, de la gestion des correctifs à la surveillance comportementale. Pour un diagnostic guidé, l’outil d’audit cyber PME de SIAC Media offre une évaluation structurée en quelques minutes.

Que faire en cas de compromission suspectée

Face à une suspicion de malware fileless, la règle d’or est de ne pas redémarrer la machine avant d’avoir capturé son état mémoire, sous peine de perdre l’intégralité des preuves puisque le malware ne survit généralement pas au reboot. Isolez le poste du réseau (déconnexion réseau plutôt qu’extinction), documentez les processus en cours et les connexions réseau actives, et faites appel à une équipe de réponse à incident si vous n’avez pas les compétences forensiques en interne pour analyser la mémoire vive.

Notre guide sur le plan de réponse à incident pour PME et notre article sur les 24 premières heures après une cyberattaque détaillent l’ensemble de la procédure à suivre, y compris les obligations de notification le cas échéant.

Cette vigilance s’inscrit dans une démarche de sécurité globale : notre panorama complet des technologies IA de cybersécurité 2026 et notre guide complet de la cybersécurité PME couvrent l’ensemble des briques nécessaires pour construire une défense cohérente face à ce type de menace avancée.

Conclusion

Le malware fileless illustre une évolution de fond de la cybercriminalité : les attaquants ne cherchent plus à introduire un objet étranger détectable, ils détournent ce qui existe déjà et fonctionne légitimement. Face à cette réalité, un antivirus signature seul ne suffit plus. La détection comportementale portée par l’EDR et le XDR, combinée à des mesures d’hygiène de base (restriction de PowerShell, désactivation des macros, patch management rigoureux, moindre privilège), constitue aujourd’hui le socle minimal pour une PME qui veut réellement se protéger contre ces menaces invisibles. La question n’est plus de savoir si votre antivirus verra un fichier suspect, mais si votre organisation est capable de repérer un comportement anormal, même lorsqu’il se cache derrière un outil parfaitement légitime.