malware sans fichier : comment les pirates opèrent sans fichiers et comment les contrer

malware sans fichier malware parmi les catégories de menaces qui connaissent la croissance la plus rapide et qui sont les plus difficiles à détecter, auxquelles les équipes de sécurité sont confrontées aujourd'hui. Contrairement aux malware qui déposent des fichiers exécutables sur le disque, les attaques sans fichier exploitent des outils fiables du système d'exploitation — PowerShell, WMI, .NET — pour exécuter du code malveillant directement en mémoire. Il en résulte une attaque qui laisse un minimum de traces, contourne les antivirus basés sur les signatures et se fond parfaitement dans l'activité légitime du système. Selon l'étude « State of Endpoint Risk » de 2017 du Ponemon Institute, les attaques sans fichier avaient environ 10 fois plus de chances de réussir que les attaques basées sur des fichiers — une conclusion qui, bien que datée, reste la référence la plus citée, car aucune étude actualisée ne l'a remplacée. Des données plus récentes montrent que le problème s'accélère. malware sans fichier ont augmenté de 78 % entre 2024 et 2026, et les techniques sans fichier et en mémoire ont progressé d'environ 30 % d'une année sur l'autre. Ce guide offre un aperçu complet et fondé sur des preuves du malware sans fichier, des campagnes réelles qui façonnent le paysage actuel des menaces, ainsi que des stratégies de détection multicouches qui s'avèrent efficaces contre les menaces résidant en mémoire.

Qu'est-ce malware sans fichier ?

malware sans fichier malware une catégorie d'activités malveillantes qui exploitent des outils natifs et légitimes intégrés à un système d'exploitation — tels que PowerShell, WMI et .NET — pour mener des cyberattaques sans enregistrer de fichiers exécutables traditionnels sur le disque. Ils opèrent principalement en mémoire via des processus système de confiance et échappent ainsi à la détection basée sur les signatures.

Cette définition, bien que claire, simplifie à l'excès une réalité nuancée. Le terme « sans fichier » s'inscrit dans un continuum. La taxonomie de référence de Microsoft relative aux menaces sans fichier classe ces dernières en trois catégories :

• Type I — Aucune activité sur les fichiers. L'attaque se déroule entièrement en mémoire, sans aucune interaction avec le système de fichiers. Le shellcode injecté dans les processus et les scripts PowerShell en mémoire entrent dans cette catégorie. Ces attaques disparaissent au redémarrage, à moins d'être associées à un mécanisme de persistance distinct.
• Type II — Activité indirecte sur les fichiers. L'attaque utilise des éléments légitimes du système de fichiers — entrées du référentiel WMI, valeurs de la ruche du registre — comme support de stockage, mais ne dépose jamais d'exécutable classique. La porte dérobée WMI POSHSPY d'APT29 en est un exemple typique.
• Type III — Fichiers nécessaires au fonctionnement. La phase initiale utilise des fichiers (macros, scripts, droppers), mais la charge utile s'exécute entièrement en mémoire. La chaîne du ransomware sans fichier Storm-0249 s'inscrit dans cette catégorie.

Vous pouvez également rencontrer des termes synonymes dans la pratique. malware « memory-only »,malware , les attaques « zero footprint » et les techniques « living off the land » (LOTL) désignent tous des concepts qui se recoupent au sein de cette catégorie de menaces. La principale distinction réside dans le fait que malware sans fichier malware une catégorie plus large, tandis que le LOTL en est un sous-ensemble technique spécifique.

malware sans fichier ne malware pas des virus au sens traditionnel du terme. Les virus traditionnels se répliquent en s'attachant à des fichiers. malware sans fichier malware via des processus système légitimes, ce qui en fait une catégorie de menaces fondamentalement différente, nécessitant des méthodes de détection distinctes.

malware sans fichier vs malware traditionnel

Tableau : Principales différences entre malware sans fichier et malware traditionnels

Comment malware sans fichier

malware sans fichier malware un processus d'attaque en plusieurs étapes. Il est essentiel de bien comprendre chacune de ces étapes — ainsi que les outils utilisés par les pirates — pour mettre en place une détection efficace.

Chaîne d'attaque sans fichier type :

1. Accès initial — Phishing : un e-mail de phishing, une faille d'exploitation ou une technique d'ingénierie sociale sert de point d'entrée
2. Exécution — PowerShell, WMI ou .NET charge directement le code malveillant en mémoire
3. Persistance — Les clés de registre ou les abonnements aux événements WMI garantissent l'accès même après un redémarrage
4. Déplacement latéral — Les outils d'injection de processus et LOTL se sont répandus à travers le réseau
5. Commande et contrôle et exfiltration — Des canaux cryptés acheminent les données volées hors de l'environnement

PowerShell et l'exécution via des scripts

PowerShell reste le principal moyen d'exécution sans fichier sous Windows. Les pirates utilisent des commandes encodées en Base64 transmises directement à PowerShell pour télécharger et exécuter des charges utiles sans jamais créer de fichier. Le T1059.001 Cette technique est l'une des plus fréquemment observées dans les campagnes réelles.

Un scénario classique consiste à utiliser curl.exe ou Invoke-WebRequest pour récupérer un script depuis un serveur distant et le rediriger directement vers powershell.exe -EncodedCommand pour l'exécution en mémoire. L'interface de scan anti-malware (AMSI) a été conçue pour analyser ces commandes lors de l'exécution, mais les pirates continuent de mettre au point des techniques de contournement — ce qui fait d'AMSI une couche de défense importante, mais imparfaite.

L'exploitation abusive de WMI ajoute une nouvelle dimension. Les attaquants créent des abonnements aux événements WMI — des déclencheurs permanents qui exécutent du code lorsque certaines conditions système sont réunies. La porte dérobée POSHSPY d'APT29 stockait des commandes PowerShell chiffrées au sein même du référentiel WMI, un filtre WMI déclenchant leur exécution périodique. Comme l'a montré l'analyse de Mandiant, cela a permis à APT29 de bénéficier d'un accès persistant et sans fichier, s'exécutant sous l'identité SYSTEM sans laisser de traces en dehors du référentiel WMI.

Techniques d'injection de processus et de résidence en mémoire

Injection dans le processus (T1055) est la MITRE ATT&CK la plus répandue MITRE ATT&CK . Le rapport Picus Red 2026, qui a analysé 1,1 million malware , l'a classée en tête — et a révélé que 80 % des 10 techniques les plus courantes visent à contourner les défenses, à assurer la persistance et à établir un système de commande et de contrôle.

Les pirates injectent du code malveillant dans l'espace mémoire de processus fiables en cours d'exécution — RuntimeBroker.exe, svchost.exe, OneDrive.exe — afin que l'activité malveillante s'exécute sous le contexte d'un binaire légitime et signé. La campagne DEAD#VAX de février 2026 l'a démontré en utilisant une obfuscation à quatre niveaux et l'injection de processus dans des processus Windows de confiance, en recourant à des fichiers VHD hébergés sur IPFS pour contourner entièrement les protections Mark-of-the-Web.

La persistance via le registre stocke les charges utiles cryptées dans des clés de registre, garantissant ainsi leur survie après les redémarrages tout en les maintenant hors du système de fichiers. Le « sideloading » de DLL — technique consistant pour les attaquants à placer une DLL malveillante aux côtés d'une application légitime et signée numériquement — est devenu une méthode privilégiée. Storm-0249 a exploité un binaire signé par SentinelOne précisément dans ce but, transformant le processus même de l'outil de sécurité en vecteur d'attaque.

Techniques sans fichier sous Linux

malware sans fichier ne malware plus un problème réservé à Windows. Les environnements Linux — qui hébergent la majorité des cloud des entreprises — sont confrontés à leur propre ensemble de techniques sans fichier :

• memfd_create — Appel système Linux qui crée des fichiers anonymes en mémoire et renvoie un descripteur de fichier permettant l'exécution sans passer par le système de fichiers. Le framework ShadowHS, découvert en janvier 2026, utilise memfd pour l'ensemble de sa chaîne d'exécution avec des charges utiles chiffrées en AES-256-CBC.
• ptrace — Un appel système qui permet à un processus de manipuler la mémoire d'un autre processus, ce qui rend possible l'injection de code sous Linux, à l'instar de l'injection de processus sous Windows.
• /proc/self/mem — Écritures directes en mémoire via le système de fichiers proc, permettant de modifier le contenu des processus en cours d'exécution.

La campagne de minage de cryptomonnaies sans fichier visant PostgreSQL, menée en avril 2025, a compromis plus de 1 500 serveurs à l'aide de la technique memfd, démontrant ainsi que des attaques sans fichier pouvaient être menées à grande échelle dans le cadre de la cybercriminalité courante sur des infrastructures Linux. Les attaquants ont eu recours à une diversification des hachages binaires par cible afin de contourner les systèmes de détection basés sur la réputation — un niveau de sophistication jusqu'alors réservé aux menaces persistantes avancées.

Types de malware sans fichier

Comprendre la classification des malware sans fichier malware les équipes de sécurité malware mettre en place des mécanismes de détection adaptés à chaque variante. Le tableau ci-dessous combine la taxonomie de Microsoft (types I, II et III) avec des catégories basées sur les techniques utilisées et cloud nouvelles cloud .

Tableau : Classification des malware sans fichier malware leur mode d'exécution et leur mécanisme de persistance

Attaques ciblant les environnements Cloud et les conteneurs sans fichier

L'extension des techniques sans fichier aux cloud constitue une lacune majeure en matière de sécurité dans l'ensemble du secteur de la cybersécurité — et représente une menace en pleine expansion. Cloud sont particulièrement vulnérables, car les conteneurs sont, par nature, éphémères, ce qui signifie que l'analyse traditionnelle basée sur les fichiers n'a qu'une utilité limitée, même pour malware classiques.

Parmi les vecteurs d'attaque spécifiques cloud , on peut citer :

• Exploitation au niveau du runtime des conteneurs — Les pirates exploitent des failles permettant de s'échapper du conteneur pour injecter du code dans la mémoire de l'hôte via memfd_create, contournant ainsi l'isolation du conteneur sans écrire de fichiers
• Abus de fonctions sans serveur — Le code malveillant injecté dans les environnements d'exécution de fonctions sans serveur s'exécute entièrement en mémoire, sans stockage persistant
• Attaques visant le planCloud — Exploitation abusive des API cloud et d'identifiants volés pour exécuter des commandes sur cloud sans déployer de fichiers
• Sécurité Kubernetes Exploits de type « sidecar » — Injection de conteneurs malveillants sous forme de sidecars qui exécutent des charges utiles en mémoire

VoidLink, un framework sans fichier cloud et assisté par IA découvert en janvier 2026, illustre parfaitement cette évolution. Développé par un seul développeur avec l'aide d'un grand modèle linguistique — qui aurait généré environ 88 000 lignes de code —, VoidLink cible cloud avec des chaînes d'exécution sans fichier spécialement conçues pour contourner les plateformes de protection cloud .

malware sans fichier malware la pratique

Des campagnes réelles menées en 2025 et 2026 montrent comment les techniques sans fichier sont déployées sur toutes les principales surfaces d'attaque. Ces exemples — nettement plus récents que les références obsolètes à Poweliks (2014) et Kovter que l'on trouve dans la plupart des guides concurrents — reflètent l'état actuel des menaces sans fichier.

Tableau : malware récentes malware sans fichier de 2025 à 2026

Les techniques sans fichier dans les chaînes d'attaque des ransomwares

L'intégration des techniques sans fichier dans les opérations de ransomware s'accélère. Selon Recorded Future, le nombre d'attaques par ransomware signalées publiquement est passé à 7 200 en 2025, contre 4 900 en 2024, soit une augmentation de 47 %. malware sans fichier présentes dans les kits de ransomware ont augmenté de 40 % (Gitnux, 2026), et 93 % des organisations ont subi au moins une intrusion par ransomware au cours des 24 derniers mois.

La campagne menée par Storm-0249 en décembre 2025 illustre bien ce schéma. La chaîne d'attaque utilise une technique d'ingénierie sociale appelée « ClickFix » pour inciter les utilisateurs à exécuter une commande PowerShell. Cette commande télécharge et exécute une charge utile sans fichier via curl.exe, redirigée vers PowerShell — aucun fichier n'est jamais stocké sur le disque. La charge utile utilise ensuite le chargement latéral de DLL via un binaire de sécurité signé de manière légitime pour s'ancrer dans le système et déployer le ransomware. Chaque étape précédant la charge utile de chiffrement finale exploite des techniques sans fichier, rendant la détection précoce dépendante de l'analyse comportementale plutôt que de l'analyse de fichiers.

Détection et prévention malware sans fichier

La détection malware sans fichier malware un changement radical, passant d'une sécurité basée sur les fichiers à une sécurité basée sur le comportement. Les antivirus traditionnels — qui reposent sur l'analyse des fichiers à la recherche de signatures connues — ne peuvent pas détecter de code qui n'existe jamais sous forme de fichier. C'est pourquoi 79 % des attaques ciblées en 2023 ont utilisé des binaires « living-off-the-land » (KnowBe4, 2025) et pourquoi 54 % des activités des attaquants sont enregistrées, mais seulement 14 % génèrent des alertes (Picus Blue Report, 2025). Le déficit de détection est bien réel, mais il peut être comblé avec la bonne approche.

Indicateurs comportementaux des attaques sans fichier

La détection comportementale des menaces surveille les comportements des processus, les paramètres des commandes et les modifications apportées au système plutôt que les signatures de fichiers. Les indicateurs suivants sont spécifiques à malware sans fichier.

Tableau : Indicateurs comportementaux des malware sans fichier malware correspondances de détection

Détection sur le réseau des menaces sans fichier

Voici un élément essentiel que nul autre guide n'aborde de manière satisfaisante. malware sans fichier malware endpoint : c'est là leur raison d'être. Mais malware malveillants génèrent malware du trafic réseau. Chaque communication de commande et de contrôle, chaque tentative de déplacement latéral, chaque exfiltration de données produit des comportements réseau observables.

détection et réponse aux incidents NDR) offre une couche de détection complémentaire qui repère ce que endpoint ne détectent pas :

• Détection des schémas de communication de type « beacon » — Les implants sans fichier doivent communiquer avec l'infrastructure C2. Le NDR identifie les connexions sortantes périodiques et structurées, même lorsqu'elles sont chiffrées.
• Connexions inhabituelles initiées par PowerShell — Le fait que des processus PowerShell établissent des connexions HTTP/HTTPS sortantes vers une infrastructure externe constitue une anomalie dans la plupart des environnements.
• Trafic lié aux mouvements latéraux — Les mouvements latéraux via SMB, WMI ou WinRM génèrent des schémas réseau caractéristiques détectables par le NDR, que le processus en cours d'exécution soit ou non sans fichier.
• Analyse des canaux C2 chiffrés — Même sans décryptage, les solutions NDR peuvent identifier des schémas de trafic chiffré suspects en se basant sur la synchronisation, la taille des paquets et le comportement de la destination.

La combinaison de l'EDR et du NDR offre une visibilité à la fois sur la couche endpoint et sur la couche de communication réseau, comblant ainsi la faille malware sans fichier.

Meilleures pratiques de prévention

Bien qu'aucune mesure de sécurité ne permette à elle seule de neutraliser malware sans fichier, les mesures suivantes augmentent considérablement le coût de l'attaque pour les pirates :

1. Activez la journalisation des blocs de script PowerShell (ID d'événement 4104) et la journalisation des modules afin de capturer toutes les exécutions PowerShell
2. Activer le mode de langage restreint de PowerShell via Windows Defender Application Control (WDAC) — cela limite l'accès aux types .NET et aux objets COM couramment exploités par malware sans fichier, bien qu'il existe des techniques de contournement (MSBuild, rétrogradation vers PowerShell v2)
3. Mettez en place une liste blanche d'applications à l'aide de WDAC ou d'AppLocker afin de limiter les exécutables et les scripts autorisés à s'exécuter
4. Limitez l'accès aux outils d'administration en appliquant le principe du privilège minimal — restreignez l'accès à PowerShell, WMI et aux autres outils d'administration
5. Surveiller les abonnements aux événements WMI — la persistance WMI légitime étant rare, tout nouvel abonnement justifie une enquête
6. Déployez une solution NDR pour bénéficier d'une visibilité au niveau du réseau sur les communications C2 et les mouvements latéraux
7. Mener une recherche proactive recherche proactive pour détecter les indicateurs de menaces sans fichier — connexions réseau PowerShell inhabituelles, abonnements WMI inattendus et artefacts d'injection de processus
8. Segmenter les réseaux afin de limiter l'étendue de la propagation latérale à la suite d'une compromission sans fichier

En matière de gestion des incidents, n'oubliez pas que malware sans fichier malware une collecte rapide des preuves. Il faut donner la priorité à l'analyse de la mémoire, car l'analyse du disque dur seule ne permettra pas de détecter les principaux éléments de preuve. Les guides d'intervention spécifiques aux logiciels malveillants sans fichier doivent inclure la capture de la mémoire parmi les premières mesures à prendre.

malware sans fichier malware le modèle MITRE ATT&CK

Correspondance des techniques sans fichier avec le MITRE ATT&CK permet une ingénierie de détection structurée. Plutôt que de traquer des attaques individuelles, les équipes de sécurité peuvent mettre en place une couverture de détection contre les techniques spécifiques malware sans fichier, créant ainsi des défenses durables efficaces contre les futures campagnes, et pas seulement contre celles déjà connues. Cette approche s'inscrit dans la méthodologie de la « cyber kill chain », qui vise à perturber les attaques à chaque étape.

Tableau : MITRE ATT&CK couramment utilisées dans malware sans fichier

Aspects liés à la conformité

malware sans fichier répondent directement aux exigences de conformité des principaux référentiels.

Tableau : Tableau de correspondance du cadre de conformité pour les mesures malware sans fichier

Approches modernes de malware sans fichier

Le paysage de la détection évolue pour faire face aux menaces sans fichier. Trois tendances convergentes redéfinissent la manière dont les entreprises se protègent contre les attaques résidant en mémoire.

Tout d'abord, l'intégration XDR permet de regrouper les signaux endpoint, du réseau et des identités au sein d’un pipeline de détection unifié. Les attaques sans fichier qui échappent à une couche de détection spécifique génèrent néanmoins des comportements observables sur plusieurs couches. La corrélation endpoint une exécution anormale de PowerShell sur un endpoint un trafic C2 sortant inhabituel sur le réseau produit un signal hautement fiable qu’aucune des deux couches ne peut obtenir seule.

Deuxièmement, l'analyse comportementale sont en train de mûrir dépassent désormais le stade de la simple détection basée sur des règles. Les entreprises qui déploient des défenses basées sur l'IA économisent en moyenne 1,9 million de dollars par violation par rapport à celles qui n'en disposent pas (agrégation de recherches en sécurité, 2025). Ces systèmes apprennent les comportements de référence et signalent les écarts — exactement l'approche nécessaire pour lutter contre les menaces sans fichier qui se fondent dans les opérations légitimes.

Troisièmement, la menace elle-même évolue. L'analyse « Cyber Insights 2026 » de SecurityWeek met en évidence les attaques polymorphes sans fichier basées sur l'IA comme une tendance émergente, PromptFlux et PromptSteal constituant les premières malware confirmées à interroger des modèles de langage à grande échelle (LLM). Le recours de VoidLink à l'assistance des LLM pour le développement de son infrastructure — générant environ 88 000 lignes de code — montre que l'IA facilite la création d'outils sophistiqués sans fichier.

Comment Vectra AI malware sans fichier

L'approche Vectra AI en matière de malware sans fichier repose sur la philosophie du « présumer la compromission » et sur Attack Signal Intelligence ». Plutôt que de s'appuyer sur des signatures ou des indicateurs basés sur les fichiers, la plateforme analyse les modèles de comportement dans cloud réseau et cloud afin d'identifier les communications de commande et de contrôle, les mouvements latéraux et l'exfiltration de données que les attaques sans fichier génèrent inévitablement — même lorsque les outils endpoint sont contournés. Cette analyse comportementale au niveau du réseau, étayée par 35 brevets d'IA et 12 références dans MITRE D3FEND, offre une couche de détection essentielle qui complète la couverture EDR et comble le manque de visibilité sur malware sans fichier.

Tendances futures et considérations émergentes

malware sans fichier entre dans une nouvelle phase, portée par les capacités de l'IA tant du côté des attaquants que de celui des défenseurs. Au cours des 12 à 24 prochains mois, les équipes de sécurité devront se préparer à plusieurs évolutions.

Les attaques sans fichier basées sur l'IA vont gagner en sophistication et devenir plus accessibles. La découverte de PromptFlux et PromptSteal — les premières malware confirmées qui interrogent activement de grands modèles linguistiques pendant leur exécution — marque un tournant vers malware s'adapter en temps réel. VoidLink a démontré qu'un seul développeur, avec l'aide d'un LLM, peut produire des frameworks sans fichier de niveau entreprise. À mesure que ces outils se multiplieront, le volume des attaques sans fichier augmentera, tandis que le niveau de compétence requis pour les lancer diminuera.

Les techniques « fileless »Cloud vont se généraliser. À mesure que les entreprises migreront davantage de charges de travail vers des environnements conteneurisés et sans serveur, les pirates les suivront. L'exploitation des environnements d'exécution de conteneurs via memfd, l'utilisation abusive cloud et les attaques ciblant Kubernetes constituent la nouvelle frontière malware « fileless ». Les entreprises doivent réévaluer leurs stratégies de protection cloud afin de bénéficier d'une visibilité sur les menaces résidant en mémoire, et non plus uniquement sur les vulnérabilités liées aux fichiers.

Les cadres réglementaires vont renforcer les exigences en matière de détection avancée des menaces. La directive NIS2 de l'UE et l'évolution des exigences de la norme PCI DSS v4 élargissent déjà la définition malware adéquate malware . Les capacités de détection spécifiques aux menaces sans fichier — analyse comportementale, analyse de la mémoire, détection des anomalies réseau — deviendront de plus en plus des exigences de conformité plutôt que des fonctionnalités optionnelles.

malware spécialisés dans l'extraction de données en mémoire malware émerger comme une catégorie distincte de menaces. Les données étant de plus en plus souvent stockées en mémoire pendant leur traitement (y compris les données sensibles des modèles d'IA), les pirates cibleront directement le contenu de la mémoire : ils passeront ainsi de l'utilisation de la mémoire comme environnement d'exécution à son exploitation comme cible d'extraction de données.

Les entreprises qui investissent dès maintenant dans la détection comportementale multicouche — sur les terminaux, les réseaux et cloud — seront en mesure de faire face à ces menaces émergentes sans avoir à procéder à une refonte complète de leur architecture.

Conclusion

malware sans fichier malware l'un des principaux défis en matière de détection auxquels sont confrontés les services de sécurité modernes. En exploitant des outils fiables du système d'exploitation et en s'exécutant entièrement en mémoire, ces attaques contournent les mécanismes de détection basés sur les fichiers sur lesquels le secteur de la sécurité s'est appuyé pendant des décennies. Les campagnes décrites ici — d'EggStreme à ShadowHS en passant par Storm-0249 — montrent que les techniques sans fichier s'étendent désormais cloud Windows, Linux et cloud , et sont utilisées tant par des acteurs étatiques que par des cybercriminels ordinaires.

Cette approche de défense est claire, mais nécessite un investissement réfléchi. Les entreprises ont besoin d'une détection comportementale multicouche qui allie endpoint à une analyse au niveau du réseau. Les outils basés sur les signatures, à eux seuls, donnent un faux sentiment de sécurité. L'analyse comportementale, le NDR, la recherche proactive de menaces et MITRE ATT&CK structurée MITRE ATT&CK offrent la détection complète malware sans fichier.

Les équipes de sécurité désireuses de combler les lacunes en matière de détection des attaques sans fichier peuvent découvrir comment la solution Attack Signal Intelligence Vectra AI assure une détection comportementale danscloud hybrides etcloud , en identifiant les attaques que d'autres outils ne détectent pas.