Windows 11 : analyser un fichier suspect sans le lancer

Pourquoi analyser un fichier suspect sans le lancer sur Windows 11 ?

Sur Windows 11, le réflexe le plus dangereux face à un fichier douteux, c'est de le double-cliquer "pour voir". Beaucoup de menaces (chevaux de Troie, ransomwares, voleurs de mots de passe) n'ont besoin que d'une exécution pour agir : chiffrement de tes fichiers, installation silencieuse, ouverture d'une porte dérobée, etc. La bonne approche consiste à inspecter et analyser le fichier sans l'exécuter, en combinant plusieurs méthodes : vérifications rapides, analyse locale via Sécurité Windows, et éventuellement des services en ligne.

Dans ce tutoriel Tuto Tech, tu vas apprendre à évaluer un fichier suspect de manière méthodique, avec des étapes simples et des conseils concrets.

Avant de commencer : les bons réflexes (sans rien lancer)

Avant même d'analyser, mets-toi en mode "zéro risque" :

• Ne double-clique pas sur le fichier, même "juste pour ouvrir".
• Ne l'extrais pas si c'est une archive (.zip, .rar, .7z) tant que tu n'as pas vérifié sa provenance (tu peux cependant analyser l'archive elle-même).
• Déconnecte-toi d'Internet si tu as un doute sérieux (ce n'est pas obligatoire, mais utile si tu crains un malware communicant).
• Évite de le copier sur une clé USB ou de le partager, pour ne pas propager une éventuelle menace.

Étape 1 : vérifier l'extension et les "faux fichiers" (sans exécuter)

Les malwares jouent souvent sur la confusion : un fichier qui ressemble à un PDF peut être un exécutable. Sur Windows 11, commence par afficher les extensions.

Afficher les extensions de fichiers

1. Ouvre l'Explorateur de fichiers.
2. Va dans le menu Affichage.
3. Choisis Afficher > active Extensions de noms de fichiers.

Ensuite, regarde l'extension réelle :

• .exe, .msi, .bat, .cmd, .ps1 : exécutable ou script (risque élevé si la source est inconnue).
• .js, .vbs : scripts souvent utilisés pour télécharger/installer une charge malveillante.
• .lnk : raccourci Windows, parfois utilisé pour masquer une commande malveillante.
• .docm, .xlsm : documents Office avec macros (dangereux si macros activées).

Vérifier les propriétés du fichier

Clic droit sur le fichier > Propriétés :

• Regarde la taille et la date (un "installateur" de 40 Ko, c'est suspect).
• Dans l'onglet Détails (si présent), vérifie l'éditeur, la description, la version.
• Si tu vois un bouton ou une case Débloquer (fichier téléchargé d'Internet), laisse-le bloqué tant que tu n'es pas sûr.

Étape 2 : analyser avec Sécurité Windows (Microsoft Defender) via le clic droit

Windows 11 intègre Sécurité Windows (Microsoft Defender Antivirus), suffisant dans la majorité des cas pour une première analyse. L'avantage : tu peux scanner un fichier sans l'ouvrir.

Analyse rapide du fichier

1. Clic droit sur le fichier suspect.
2. Clique sur Analyser avec Microsoft Defender (ou "Analyser avec Sécurité Windows" selon la version).
3. Attends le résultat : menace détectée, mise en quarantaine, ou rien trouvé.

Conseil pratique : si Defender ne détecte rien, ça ne garantit pas que le fichier est sain. Certains malwares récents ou très ciblés peuvent passer sous le radar. D'où l'intérêt de cumuler les méthodes ci-dessous.

Étape 3 : lancer une analyse hors ligne (Windows Defender Offline) pour les cas sérieux

Si tu suspectes un malware coriace (ou si tu as déjà des signes sur le PC : ralentissements, fenêtres étranges, antivirus désactivé), l'option Analyse hors ligne est très utile. Elle redémarre Windows dans un environnement minimal pour scanner plus efficacement.

1. Ouvre Sécurité Windows (menu Démarrer > "Sécurité Windows").
2. Va dans Protection contre les virus et menaces.
3. Clique Options d'analyse.
4. Sélectionne Analyse Microsoft Defender hors ligne.
5. Clique Analyser maintenant (le PC redémarre).

À savoir : cette analyse est surtout pertinente si tu crains une infection déjà active. Pour un simple fichier téléchargé, l'analyse via clic droit + outils en ligne suffit souvent.

Étape 4 : vérifier la signature numérique (éditeur) sans exécuter

Un exécutable légitime est souvent signé numériquement. Ce n'est pas une preuve absolue (une signature peut être volée), mais c'est un indicateur important.

Comment vérifier la signature

1. Clic droit sur le fichier > Propriétés.
2. Ouvre l'onglet Signatures numériques (s'il existe).
3. Sélectionne la signature puis clique sur Détails.

• Si le fichier est non signé et provient d'une source inconnue, augmente ton niveau de méfiance.
• Si l'éditeur affiché est incohérent (nom étrange, fautes, entreprise inconnue pour un logiciel "célèbre"), méfiance.

Étape 5 : analyser le fichier avec un service en ligne (multi-antivirus)

Pour une seconde opinion, les scanners en ligne sont très efficaces : ils comparent ton fichier à de nombreux moteurs antivirus et à des bases de réputation. L'objectif : détecter des menaces que Defender n'aurait pas encore.

Bonnes pratiques avant l'envoi

• Évite d'envoyer des fichiers contenant des données sensibles (documents perso, bases de mots de passe, etc.).
• Privilégie l'envoi d'un exécutable ou d'une archive suspecte, pas de documents confidentiels.
• Si possible, commence par analyser le hash (empreinte) plutôt que le fichier lui-même (voir étape suivante).

Comment procéder

1. Rends-toi sur un service réputé de scan multi-moteurs (ex. VirusTotal).
2. Envoie le fichier ou colle son hash si le service le permet.
3. Lis les résultats : nombre de détections, nom de la menace, comportement suspect.

Interprétation :

• 0 détection : plutôt rassurant, mais pas une garantie.
• 1 à 2 détections "obscures" : possible faux positif, vérifie la réputation du fichier et sa signature.
• Plusieurs détections : considère le fichier comme dangereux, supprime-le ou isole-le.

Étape 6 : calculer le hash (empreinte) du fichier pour vérifier sa réputation

Le hash (SHA-256 par exemple) est une "empreinte" unique du fichier. Si le fichier est connu, tu peux retrouver des analyses existantes sans forcément l'envoyer.

Calculer un SHA-256 avec PowerShell (sans exécuter le fichier)

1. Clic droit sur le menu Démarrer > Terminal (PowerShell).
2. Utilise la commande suivante (en adaptant le chemin) :

Commande :

Get-FileHash "C:\Chemin\vers\fichier_suspect.exe" -Algorithm SHA256

Copie la valeur SHA256 obtenue et compare-la :

• au site officiel de l'éditeur (certains publient des hashes),
• ou à un service de réputation/scan qui accepte la recherche par hash.

Étape 7 : isoler le fichier et le tester en environnement sûr (si tu veux aller plus loin)

Si tu dois absolument comprendre ce que fait le fichier (par exemple un outil reçu au travail, ou un logiciel rare), ne le teste pas sur ton Windows principal.

Options recommandées

• Windows Sandbox (si disponible sur ton édition de Windows) : environnement temporaire isolé.
• Machine virtuelle (VirtualBox/VMware) : plus flexible, snapshots, réseau contrôlé.

Important : même en sandbox/VM, un malware peut tenter de voler des données si tu lui donnes accès au réseau ou si tu connectes tes comptes. Utilise un environnement "jetable", sans fichiers personnels, et idéalement avec réseau limité.

Que faire si une menace est détectée ?

Si Microsoft Defender ou un service en ligne signale quelque chose :

1. Ne lance pas le fichier.
2. Supprime-le ou laisse Defender le mettre en quarantaine.
3. Fais une analyse complète du PC (Système > Sécurité Windows > Options d'analyse).
4. Si tu as exécuté le fichier par erreur : déconnecte Internet, lance une analyse complète + hors ligne, et change tes mots de passe depuis un appareil sain.

Résumé : la méthode simple et efficace

• Affiche les extensions et vérifie les propriétés.
• Scanne via Analyser avec Microsoft Defender.
• Contrôle la signature numérique si disponible.
• Complète avec un scan en ligne multi-antivirus.
• Calcule le SHA-256 pour vérifier la réputation.
• Si besoin, teste uniquement en Sandbox/VM, jamais sur ton PC principal.

En appliquant ces étapes, tu réduis drastiquement le risque de "mauvaises surprises" sur Windows 11, tout en gardant une approche pragmatique : analyse d'abord, exécution ensuite (et seulement si tu es sûr).