Qu'est-ce qu'un trojan ? Définition du cheval de Troie informatique, exemples et protection

Un trojan, ou cheval de Troie en français, est un logiciel malveillant qui se fait passer pour un programme utile ou inoffensif afin de convaincre l'utilisateur de l'installer lui-même. Jeu gratuit, lecteur vidéo, mise à jour urgente, facture en pièce jointe ou application de retouche photo : l'emballage est séduisant, mais il renferme un code caché qui, une fois lancé, ouvre l'appareil à un pirate, espionne son propriétaire ou installe d'autres programmes nuisibles. Le nom fait directement référence à la ruse racontée dans l'Odyssée et l'Énéide, où les Grecs offrent aux Troyens un grand cheval de bois dans lequel se cachent des soldats, qui ouvriront de nuit les portes de la ville. Contrairement à un virus, le trojan ne se recopie pas tout seul de fichier en fichier : il compte sur la confiance de sa victime, ce qui en fait l'une des menaces les plus répandues et les plus durables de l'histoire de l'informatique. Ordinateurs, smartphones, serveurs d'entreprise : aucun appareil n'est à l'abri. Cette définition explique comment fonctionne un cheval de Troie, quelles formes il peut prendre, quels exemples ont marqué l'histoire, comment repérer une infection et surtout comment s'en protéger au quotidien.

Qu'est-ce qu'un trojan ? Définition du cheval de Troie informatique

Un trojan est un programme qui présente deux visages : une façade légitime, parfois réellement fonctionnelle, et une charge malveillante dissimulée qui s'exécute à l'insu de l'utilisateur. Le terme appartient à la grande famille des malwares, ou logiciels malveillants, aux côtés des virus, des vers, des logiciels espions ou des rançongiciels. Ce qui le distingue, c'est son mode d'entrée : il ne force pas la porte, il se fait inviter. Le plus souvent, il arrive par un message trompeur, comme ceux qu'utilise le phishing, par un faux site de téléchargement, une publicité piégée ou une application contrefaite. Il ne se reproduit pas de lui-même, contrairement au virus qui infecte d'autres fichiers ou au ver qui se propage tout seul sur un réseau, même si certains chevaux de Troie modernes combinent plusieurs de ces techniques. Une fois installé, il cherche généralement à rester discret le plus longtemps possible, car sa valeur pour l'attaquant tient à la durée de son accès. Le mot « trojan » est l'abréviation anglaise de Trojan horse, et l'on rencontre aussi bien les formes « troyen » que « cheval de Troie » dans les textes francophones.

Trojan, virus, ver : ne pas tout confondre

Dans le langage courant, on parle volontiers de « virus » pour désigner n'importe quel programme nuisible, mais les spécialistes font des distinctions utiles. Le virus au sens strict s'attache à un fichier ou à un programme existant et se propage lorsque celui-ci est copié ou exécuté, un peu comme un parasite. Le ver est autonome : il se déplace de lui-même d'une machine à l'autre en exploitant une faille réseau, sans action de l'utilisateur, ce qui lui permet parfois d'infecter des milliers d'ordinateurs en quelques heures. Le trojan, lui, ne se propage pas seul et ne modifie généralement pas les autres fichiers : il mise uniquement sur la tromperie pour être installé, puis remplit sa mission en silence. Le logiciel espion, le rançongiciel ou le logiciel publicitaire décrivent plutôt ce que fait le programme une fois en place, si bien qu'un même logiciel malveillant peut être à la fois un cheval de Troie par son mode d'entrée et un espion par sa fonction. Ces catégories se chevauchent de plus en plus, les attaquants assemblant différents modules selon leurs besoins, mais elles restent précieuses pour comprendre d'où vient le danger et comment le bloquer.

Comment fonctionne un trojan ? Les étapes d'une infection

Le scénario d'une attaque par trojan suit presque toujours le même déroulé. Tout commence par l'ingénierie sociale, c'est-à-dire la manipulation psychologique : un courriel imitant un transporteur ou une administration, un SMS annonçant un colis bloqué, un site promettant un logiciel payant gratuitement ou un message sur un réseau social incitent la victime à télécharger et ouvrir un fichier. Ce fichier peut être un programme, un document bureautique contenant des macros, une archive compressée ou une application mobile installée en dehors des boutiques officielles. Au lancement, le cheval de Troie s'installe en arrière-plan, parfois en affichant réellement le programme promis pour ne pas éveiller les soupçons. Il s'arrange ensuite pour survivre au redémarrage en s'inscrivant parmi les programmes lancés automatiquement, puis contacte un serveur contrôlé par l'attaquant, appelé serveur de commande et de contrôle. De là, il reçoit ses instructions : voler des mots de passe, enregistrer les frappes au clavier, télécharger d'autres logiciels malveillants, transformer la machine en membre d'un réseau d'ordinateurs zombies ou préparer le terrain d'un rançongiciel. Certains exploitent aussi des failles de sécurité pour obtenir les droits d'administrateur et se cacher parmi les processus du système.

Quels sont les différents types de trojan ?

Le terme trojan recouvre des programmes aux objectifs très variés, que les spécialistes classent selon ce qu'ils font une fois installés. Le plus redouté est le RAT, pour Remote Access Trojan, ou cheval de Troie d'accès à distance : il offre à l'attaquant un contrôle complet de la machine, qu'il peut piloter comme s'il était assis devant, jusqu'à activer la webcam ou le micro. Le trojan bancaire se spécialise dans le vol d'identifiants financiers, par exemple en superposant de faux formulaires aux pages de la banque ou en modifiant discrètement un virement. Les infostealers, ou voleurs d'informations, aspirent en quelques secondes mots de passe enregistrés, cookies de session et portefeuilles de cryptomonnaies, tandis que les keyloggers enregistrent tout ce qui est tapé au clavier. Le downloader, ou chargeur, n'a qu'une mission : ouvrir la porte et installer d'autres logiciels malveillants, ce qui en fait souvent le premier maillon d'une attaque plus large. Sur mobile, de fausses applications de lampe torche, de jeux ou de lecture de QR codes cachent parfois des trojans qui interceptent les SMS de validation bancaire. Enfin, certaines variantes s'exécutent uniquement en mémoire vive, sans fichier sur le disque, pour échapper aux antivirus traditionnels.

Quels sont les trojans les plus célèbres ?

L'histoire des chevaux de Troie commence bien avant Internet. En 1975, le programmeur John Walker diffuse sur des ordinateurs UNIVAC un petit jeu de devinettes, ANIMAL, accompagné d'un programme qui se recopie discrètement dans les répertoires accessibles : sans intention malveillante, il illustre déjà le principe d'un logiciel caché derrière un autre. Le danger devient réel avec l'essor d'Internet à la fin des années 1990. Back Orifice, publié en 1998 par le collectif de hackers Cult of the Dead Cow pour dénoncer la fragilité de Windows, puis Sub7 popularisent la prise de contrôle à distance. Les années 2000 voient le crime organisé s'emparer de l'outil : Zeus, repéré vers 2007, devient le trojan bancaire de référence et son code, diffusé publiquement, inspire de nombreuses variantes. Emotet, apparu en 2014 comme voleur d'identifiants bancaires, se transforme en plateforme de distribution d'autres logiciels malveillants, au point d'être considéré comme l'une des menaces majeures de la fin des années 2010 ; une opération policière internationale l'a démantelé début 2021, avant que des variantes ne refassent surface. Plus récemment, des familles comme Agent Tesla, vendues clés en main sur des forums criminels, montrent la professionnalisation de ce marché.

Comment savoir si l'on est infecté par un trojan ?

Un trojan bien conçu cherche à passer inaperçu, si bien qu'aucun symptôme n'est une preuve certaine. Plusieurs signes doivent néanmoins alerter. Un appareil qui ralentit brutalement, chauffe ou fait tourner son ventilateur sans raison, une batterie de smartphone qui se vide anormalement vite ou une consommation de données inhabituelle peuvent trahir un programme qui travaille en cachette. L'apparition de fenêtres publicitaires, d'une nouvelle barre d'outils dans le navigateur, d'une page d'accueil modifiée ou d'applications que l'on n'a pas installées est également suspecte. Il faut se méfier si l'antivirus s'est désactivé tout seul, si le pare-feu affiche des connexions sortantes inconnues ou si des réglages de sécurité ont changé. Les indices viennent parfois de l'extérieur : des proches qui reçoivent des messages étranges envoyés depuis votre compte, une alerte de connexion depuis un pays lointain, un mot de passe soudain refusé ou des opérations bancaires que vous ne reconnaissez pas. Face à ces signaux, mieux vaut réagir vite. Lancer une analyse complète avec un outil de sécurité à jour constitue un premier réflexe, mais un diagnostic négatif ne garantit pas l'absence d'infection lorsque les symptômes persistent.

Que faire en cas d'infection par un cheval de Troie ?

Si l'on soupçonne la présence d'un cheval de Troie, la première mesure consiste à déconnecter l'appareil d'Internet et du réseau local, pour couper le lien avec le pirate et éviter la contamination d'autres machines. On lance ensuite une analyse complète avec un antivirus à jour, idéalement en mode sans échec, qui limite le nombre de programmes démarrés et facilite la suppression. Depuis un autre appareil sain, il faut changer ses mots de passe en commençant par la messagerie, la banque et les comptes professionnels, et activer partout où c'est possible la double authentification. Avant de restaurer des fichiers à partir d'une sauvegarde, on vérifie qu'elle est antérieure à l'infection et qu'elle n'est pas elle-même contaminée. Lorsque le doute persiste, la réinstallation complète du système reste la solution la plus sûre. Il est utile de prévenir sa banque en cas de risque sur les moyens de paiement, et de porter plainte si un préjudice est constaté. En France, la plateforme publique d'assistance aux victimes de cybermalveillance oriente particuliers et entreprises vers des prestataires de confiance. Une organisation qui subit une fuite de données personnelles doit en outre, selon les cas, la notifier à la CNIL et informer les personnes concernées.

Comment se protéger d'un trojan ? Les bons réflexes

La meilleure défense contre le trojan reste la vigilance, puisque c'est l'utilisateur qui lui ouvre la porte. Il convient de ne télécharger des logiciels et des applications que depuis les sources officielles (site de l'éditeur, boutiques d'applications reconnues), de fuir les versions « crackées » de programmes payants, très souvent piégées, et de se méfier des pièces jointes inattendues, même lorsqu'elles semblent venir d'un contact connu. Activer l'affichage des extensions de fichiers permet de repérer une fausse facture qui se termine en réalité par « .exe ». Les mises à jour du système, du navigateur et des applications doivent être installées rapidement, car elles corrigent les failles que les chevaux de Troie exploitent. Un antivirus actif et à jour, la double authentification sur les comptes importants et un usage quotidien d'un compte utilisateur sans droits d'administrateur limitent fortement les dégâts. Les sauvegardes régulières, conservées hors ligne, garantissent de récupérer ses données même dans le pire des cas. Un réseau privé virtuel chiffre la connexion mais ne protège pas d'un programme que l'on installe soi-même. En entreprise, la sensibilisation des équipes, les exercices de faux hameçonnage et le filtrage des connexions par un firewall complètent ce dispositif.