Cheval de Troie (informatique)

Le programme contenu (ou téléchargé par la suite automatiquement) est appelé la charge utile[9]. Il peut s'agir de n'importe quel type de logiciel malveillant : virus, keylogger, logiciel espion ou publicitaire... C'est ce logiciel malveillant qui va exécuter des actions au sein de l'ordinateur victime[10]. Le cheval de Troie n'est rien d'autre que le véhicule, celui qui fait « entrer le loup dans la bergerie ». Il n'est pas nuisible en lui-même car il n'exécute aucune action, si ce n'est celle de permettre l'installation du vrai logiciel malveillant.

Dans le langage courant, on nomme souvent par métonymie « cheval de Troie » pour désigner le logiciel malveillant contenu à l'intérieur. Cette confusion est en partie alimentée par les éditeurs d'antivirus, qui utilisent « trojan » comme nom générique pour désigner différents types de programmes malveillants qui n'ont rien à voir avec des chevaux de Troie[11].

Le cheval de Troie prend l'apparence d'un logiciel existant, légitime et parfois même réputé, mais qui aura été modifié pour y dissimuler un parasite. La subtilité avec laquelle l'installation est faite est expliquée par Ken Thompson dans sa conférence Turing. L'utilisateur va télécharger et installer le programme, pensant avoir affaire à une version saine. En réalité, le logiciel véhicule un logiciel malveillant qui va pouvoir s'exécuter sur son ordinateur. Les logiciels crackés peuvent d'ailleurs être des chevaux de Troie qui vont berner l'internaute qui souhaite obtenir gratuitement un logiciel normalement payant, comme Adobe Acrobat Pro, Photoshop, Microsoft Office[12]...

L’introduction d'un cheval de Troie dans un système informatique peut s'effectuer de différentes façons. Voici celles qui sont les plus courantes :

• Téléchargement de versions modifiées sur des sites non officiels ou des plateformes peu sûres (P2P). Télécharger un logiciel sur le site officiel de l'auteur ou du distributeur évite normalement d'avoir affaire à une version infectée par un cheval de Troie.
• Visite de sites Web contenant un exécutable (par exemple, durant les années 2000, les contrôles ActiveX ou des applets Java).
• Exploitation de failles dans des applications obsolètes (navigateurs, lecteurs multimédias, clients de messagerie instantanée...) et notamment les Web Exploit.
• Ingénierie sociale (par exemple, un pirate envoie directement le cheval de Troie à la victime par messagerie instantanée).
• Pièces jointes et fichiers envoyés par messagerie instantanée.
• Mise à jour d'un logiciel.
• Lecture d'une clé USB d'origine inconnue.

Le cheval de Troie ne doit pas être confondu avec d'autres notions proches :

• L'injecteur (ou dropper, en anglais) est quasiment identique au trojan car il sert aussi de véhicule pour un logiciel malveillant. Cependant, l'injecteur est un programme spécialement créé pour propager des logiciels malveillants, tandis qu'un cheval de Troie est une version modifiée d'un programme existant et légitime.
• La porte dérobée (backdoor) est un programme qui va s'exécuter discrètement sur l'ordinateur où il est installé pour y utiliser une faille de sécurité. Le backdoor ouvre un ou plusieurs ports sur la machine, ce qui lui permet d'accéder librement à Internet et de télécharger, à l'insu de l'utilisateur, un logiciel malveillant. Le backdoor n'est donc pas un cheval de Troie car celui-ci ne véhicule pas le logiciel malveillant de lui-même : il va simplement ouvrir un accès et récupérer, via Internet, le programme malveillant qui se trouve sur un serveur distant.
• Le RAT (Remote administration tool) est un logiciel de prise de contrôle à distance d'un ordinateur. Un RAT peut être un outil légitime (pour le dépannage à distance, par exemple), mais il peut aussi être utilisé par un pirate pour s'emparer d'une machine. Dans ce cas, l'introduction du RAT sur la machine à contrôler se fait à l'insu de l'utilisateur. Contrairement à ce qu'on lit parfois, le T de RAT ne signifie pas Trojan mais Tool (outil).
• Les bombes de décompression ne contiennent pas de logiciels malveillants, mais elles peuvent être confondues avec les chevaux de Troie car la notion de conteneur entre aussi en jeu. Il s'agit d'un fichier compressé (un fichier zip, par exemple) de taille raisonnable tant qu'il n'est pas ouvert. Mais lorsque l'utilisateur va tenter de le décompresser, celui-ci va générer un fichier d'une taille gigantesque. Cette « explosion » entraîne le ralentissement ou le plantage de l'ordinateur, et sature le disque dur avec des données inutiles. Bien qu'il s'agisse de conteneurs malveillants, le fonctionnement des bombes de décompression n'a donc rien à voir avec celui des chevaux de Troie. En effet, elles ne transportent aucun parasite indépendant, elles saturent la machine de données aléatoires.
• Le Trojan Stealer, plutôt spécialisé dans le vol de données et notamment les comptes en ligne (mail, réseaux sociaux ou encore compte bancaire). Le préfixe utilisé par les antivirus peut alors être Trojan.PWD, où PWD signifie password pour mot de passe.

• Activité anormale de la carte réseau ou du disque dur (des données sont chargées en l'absence d'activité de la part de l'utilisateur).
• Mouvements curieux de la souris.
• Ouvertures impromptues de programmes ou du lecteur CD/DVD.
• Plantages répétés du système.
• Arrêt ou redémarrage impromptus de l'ordinateur.
• Écran ou fenêtres comportement des messages inhabituels.
• Comportement inhabituel dans le fonctionnement de l'ordinateur, comme la modification du rôle des boutons de la souris ou la modification du volume du lecteur audio.
• Ouverture ou fermeture intempestive de fenêtres ou de logiciels.
• Les programmes commencent ou terminent leur exécution de manière inattendue.
• Le navigateur accède tout seul à certains sites Internet.
• Présence d'autres programmes qui n'ont pas été volontairement installés (y compris des logiciels malveillants).
• Vol de renseignements personnels : informations personnelles ou bancaires, mots de passe...
• Suppression, modification ou transfert de fichiers (téléchargement ou upload).
• Exécution ou arrêt de processus.
• Enregistrement des frappes (voir Enregistreur de frappe)
• Captures d'écran inhabituelles.
• Espace libre du disque dur occupé par des fichiers inutiles.

• Socket23
• Vundo (aussi dénommé Virtumonde)
• LANfiltrator[13]
• FlashBack
• Y3k RAT[14] (inactive)
• Hadès-RAT
• Back Orifice
• Beast
• Netbus
• ZeroAccess
• Koobface

Une liste des Trojan Banker qui ont été les plus actifs en 2016 et qui sont spécialisés dans le vol de comptes bancaires :

• Zeus
• Spyeye
• Dyre
• Ursnif aka (Papras, ouVoslik)
• Dridex.
• Vawtrak

• Cet article est principalement issu de l'article de viruslist.com