Trojans : mécanismes et analyse technique

Les Trojans, ou chevaux de Troie, sont des programmes malveillants qui se dissimulent dans un logiciel apparemment légitime. Contrairement aux virus, les Trojans ne se répliquent pas seuls. Ils s'exécutent via une action de l'utilisateur : ouverture d'une pièce jointe, installation d'un freeware piégé, ou clic sur un lien malveillant. Une fois actifs, ils ouvrent une porte dérobée (backdoor) permettant à un attaquant d'accéder au système compromis. Les Trojans se déclinent en plusieurs catégories fonctionnelles : les Remote Access Trojans (RAT) offrent un contrôle complet du poste, les downloaders téléchargent des charges utiles secondaires, les stealers exfiltrent identifiants et cookies. Certains Trojans bancaires interceptent les frappes clavier et les captures d'écran pour voler des données financières. Le canal de communication avec l'infrastructure C2 (Command and Control) est généralement chiffré via HTTPS ou DNS tunneling, ce qui complique leur détection réseau. Leur persistance est assurée via des clés de registre comme HKLM/Software/Microsoft/Windows/CurrentVersion/Run, des tâches planifiées ou des services Windows créés à la volée. Les Trojans constituent l'un des vecteurs d'intrusion initiale les plus fréquents dans les chaînes d'attaque modernes.

La détection des Trojans repose sur plusieurs couches d'analyse complémentaires. Côté logs Windows, l'Event ID 4688 (création de processus) révèle des exécutables lancés depuis des répertoires inhabituels comme %TEMP%, %APPDATA% ou %PUBLIC%. L'Event ID 7045 signale la création d'un nouveau service, souvent utilisé pour la persistance. L'Event ID 4698 indique la création d'une tâche planifiée suspecte. Le monitoring Sysmon apporte une visibilité précieuse : les Event ID 1 (process create), 3 (network connection) et 11 (file create) permettent de corréler comportements réseau et activité disque. Un processus enfant inattendu d'Office ou d'un navigateur est un indicateur fort de compromission. Côté réseau, les communications régulières vers des domaines générés algorithmiquement (DGA) ou via des ports non standards doivent alerter. Les outils EDR comme CrowdStrike ou SentinelOne détectent les injections de code dans des processus légitimes (process hollowing, DLL injection). L'analyse des connexions sortantes persistantes avec un faible volume de données est caractéristique du beacon C2. Les règles YARA et Sigma permettent de formaliser ces indicateurs pour une détection automatisée dans un SIEM comme Splunk ou Elastic Security. La corrélation des alertes sur plusieurs sources reste indispensable.

En contexte Red Team, les Trojans sont construits autour de frameworks comme Metasploit, Cobalt Strike ou Havoc C2. Le dropper initial est souvent un document Office exploitant des macros VBA ou un fichier LNK déguisé en document légitime. La technique de process injection permet d'injecter le payload dans un processus Windows de confiance comme explorer.exe ou svchost.exe, contournant ainsi les solutions antivirus basées sur les signatures. Le chiffrement du payload (XOR, AES) et l'obfuscation du code source évitent la détection statique. Certains Trojans exploitent le DLL side-loading : ils placent une DLL malveillante dans le répertoire d'un exécutable signé qui la charge automatiquement. Côté contre-mesures, le durcissement passe par la restriction des macros Office via GPO, l'activation de Windows Defender Attack Surface Reduction (ASR), et le blocage de PowerShell en mode ConstrainedLanguage. L'application de la politique de liste blanche applicative (AppLocker ou WDAC) limite l'exécution de binaires non autorisés. La segmentation réseau et le filtrage DNS bloquent les communications C2. Enfin, la formation des utilisateurs au phishing réduit significativement le taux de succès de l'infection initiale, qui reste le vecteur le plus exploité pour déposer un Trojan sur un poste cible.