12 virus informatiques et malwares qui ont marqué internet, de Melissa à LockBit

Pourquoi les premiers virus fonctionnaient si bien contre les utilisateurs ?

Les premiers virus informatiques ont surtout exploité la confiance humaine et la routine logicielle. Le scénario répétait un même schéma : appât, exécution côté utilisateur, puis diffusion via messagerie ou réseaux locaux. Cette logique reste visible dans les campagnes modernes, même si les charges utiles ont changé.

A voir aussi : Michel ingénieur informaticien : comment le buzz MP3 de 2001 a précédé YouTube, 20 ans après

La différence principale porte sur la sophistication et sur la monétisation. Les acteurs combinent désormais ingénierie sociale, automatisation et monétisation des données. Le résultat consiste en des infections plus discrètes et des impacts plus étendus.

Une lecture utile consiste à distinguer trois étapes : entrée, exécution, propagation ou monétisation.

• Entrée : e-mail, pièce jointe, site frauduleux ou service exposé
• Exécution : macro Office, binaire furtif, exploit applicatif ou commande trompeuse
• Propagation : carnet d’adresses, balayage réseau, botnet ou vol d’identifiants
• Monétisation : rançon, revente de données, accès à d’autres comptes ou déploiement d’autres charges

Quels 12 virus et malwares ont le plus marqué internet ?

Voici une sélection orientée “apprentissage”, du malware le plus connu à des familles moins médiatisées. Chaque entrée précise le rôle du vecteur, la logique d’infection et la leçon défensive applicable.

Les cas cités couvrent vers, chevaux de Troie, ransomwares, botnets et infostealers. Le terme “virus” reste utilisé au sens courant, même si la classification diffère.

Melissa (1999) : quand la macro Word ouvrait la porte

Melissa illustre comment une pièce jointe banale peut déclencher une chaîne d’infection. Une macro, une fois exécutée dans Word, exploitait ensuite Outlook pour envoyer le document à des contacts choisis automatiquement. La propagation a fortement mobilisé des infrastructures de messagerie.

Le FBI a estimé environ un million de comptes perturbés lors de l’épisode, ce qui a rendu la dépendance aux macros plus visible. La leçon reste actuelle : réduire l’exécution non contrôlée dans les environnements Office.

ILOVEYOU (2000) : l ingénierie sociale au service de l automatisation

ILOVEYOU a transformé l’émotion en moteur de propagation. Le message annonçait une déclaration d’amour et invitait à ouvrir “LOVE-LETTER-FOR-YOU”. Le lancement sous Windows modifiait des fichiers puis relançait la diffusion vers les contacts configurés sur la machine.

Cette campagne a montré que la faille la plus rentable reste souvent entre l’écran et l’utilisateur. Aujourd’hui, le même principe s’observe dans les faux documents et les renvois vers des services compromis.

Code Red (2001) : un ver réseau qui exploitait Microsoft IIS

Code Red a accéléré une bascule : la contagion ne dépendait plus uniquement de l’ouverture d’un fichier. Le ver cherchait des serveurs Microsoft IIS vulnérables et s’installait automatiquement, puis poursuivait sa recherche de nouvelles cibles. Il pouvait aussi contribuer à des attaques par déni de service.

Cette histoire rappelle que l’absence de correctif sur une application exposée suffit pour déclencher un incident à grande échelle. Un correctif disponible ne garantit pas une mitigation si le déploiement tarde.

SQL Slammer (2003) : la taille d un payload ne limite pas l impact

SQL Slammer a été célèbre pour sa compacité et sa vitesse. Le ver ciblait Microsoft SQL Server et MSDE, se propageant rapidement sur des hôtes vulnérables. Le trafic généré a perturbé des réseaux, avec des effets visibles sur des services critiques.

Cette séquence illustre l’importance des correctifs applicatifs et des contrôles réseau. Une politique de segmentation réduit la propagation même si une vulnérabilité est exploitée.

MyDoom (2004) : le malware devient une infrastructure

MyDoom a renforcé l’idée de machine “zombie”. Après infection via e-mail, il récupérait des adresses locales pour étendre la diffusion. Les machines compromises servaient aussi à des actions coordonnées à distance, amplifiant les dégâts.

Le point clé concerne la persistance du risque : un poste “semble normal” tout en participant à une capacité d’attaque. Les défenseurs doivent donc surveiller des comportements réseau et système, pas seulement l’aspect des écrans.

Conficker (2008) : quand Windows devient une surface d attaque durable

Conficker a combiné plusieurs chemins vers la compromission. Il exploitait des failles Windows et pouvait aussi tirer parti d’identifiants administrateur trop prévisibles. Il se déplaçait via réseaux internes, et parfois via supports amovibles, élargissant la portée.

À son apogée, Microsoft a évoqué une estimation comprise entre 9 et 15 millions d’ordinateurs potentiellement infectés. Il pouvait aussi entraver certains outils de sécurité, ce qui ralentissait la réponse.

Emotet (à partir de 2014) : la revente d accès et l industrialisation

Emotet a d’abord été associé à des campagnes bancaires avant d’évoluer en plateforme d’accès. Une fois installé, il pouvait faciliter l’arrivée d’autres malwares, y compris des ransomwares. L’impact se déplaçait donc vers la chaîne d’approvisionnement malveillante.

Ce cas montre l’approche “malware comme service”. Une infection initiale sert de passerelle, puis l’attaque se spécialise selon la cible. Pour la défense, les contrôles doivent détecter des étapes, pas seulement la charge finale.

Mirai (2016) : botnet d objets connectés via mots de passe par défaut

Mirai a attaqué des objets connectés insuffisamment durcis. Le malware recherchait des équipements exposés, notamment caméras et routeurs, en exploitant des identifiants par défaut. Les appareils rejoignaient ensuite un botnet mobilisable à volonté.

En 2016, Mirai a participé à une attaque contre Dyn, rendant plusieurs services DNS difficiles d’accès. La leçon est simple : le durcissement des appareils IoT réduit la surface et limite la création de botnets.

WannaCry (2017) : ransomware mondial malgré un correctif publié

WannaCry a chiffré des fichiers et demandé une rançon après propagation. En mai 2017, la vague a touché plus de 150 pays et de très nombreuses organisations. L’automatisation de la propagation a accéléré l’échelle de l’impact.

La menace exploitait une vulnérabilité Windows pour laquelle un correctif existait déjà. Les défenseurs ont alors renforcé la priorisation de déploiement, car un retard transforme un patch en dette de risque.

NotPetya (2017) : une attaque qui s apparente à une destruction

NotPetya a d’abord ressemblé à un ransomware, puis a basculé vers une logique de destruction. Les tentatives de récupération n’étaient pas le cœur de la menace. Le déploiement s’est propagé en chaîne, notamment en visant des environnements fortement interconnectés.

Des organisations en Ukraine ont subi des conséquences majeures, avant une extension vers des acteurs internationaux. Le cas rappelle qu’un incident local peut devenir une crise mondiale selon le réseau et la configuration.

LockBit (à partir de 2019) : le Ransomware-as-a-Service en pratique

LockBit illustre le modèle Ransomware-as-a-Service (RaaS). Le groupe fournit infrastructure et développement, tandis que d’autres acteurs ciblent des victimes et exécutent l’infection. Le partage des gains rend le modèle plus résilient et plus rentable.

En 2024, des opérations internationales ont perturbé une partie de son écosystème, ce qui confirme la dimension organisationnelle de ces campagnes. Pour la défense, cela implique aussi de protéger l’authentification et la détection d’étapes d’exfiltration.

Lumma Stealer (à partir de 2022) : l infection discrète qui vise la valeur

Lumma Stealer se concentre sur le vol plutôt que sur le sabotage visible. Il cible des données locales et de navigateur : mots de passe enregistrés, cookies, informations liées à la navigation et parfois des contenus financiers. L’objectif consiste à monétiser l’accès et les sessions.

Ce type de infostealer réduit la probabilité d’alerte immédiate côté utilisateur. Il faut donc renforcer la surveillance des processus, des connexions sortantes et des anomalies de session.

Quelles menaces dominent aujourd hui, au-delà des anciens virus ?

Les campagnes actuelles combinent souvent phishing, exploitation de failles et collecte de données. Les ransomwares restent très visibles, mais les infostealers progressent aussi, car ils monétisent en silence. L’enjeu porte sur la capacité à détecter les étapes avant l’exfiltration.

Les synthèses récentes d’organismes spécialisés indiquent une persistance des techniques d’ingénierie sociale et une diversification des vecteurs. La défense doit donc articuler identité, durcissement des postes et télémétrie réseau.

Deux chiffres récents aident à cadrer la tendance, notamment sur la pression “données” et la réponse incident.

• En 2023-2024, les rapports du ENISA indiquent que les ransomwares restent parmi les incidents à impact immédiat
• Le FBI IC3 a documenté une hausse des pertes liées aux arnaques et intrusions en 2023, associées à des campagnes multi-vecteurs
• La surface “identité” est de plus en plus exploitée, ce que reflètent les analyses Microsoft sur les voleurs de données

Erreurs fréquentes à éviter face aux malwares modernes

Beaucoup d’organisations échouent par manque de cohérence entre les outils et les habitudes. Une base technique seule ne suffit pas si les accès restent fragiles. Une base humaine seule ne suffit pas non plus si les systèmes restent exposés.

Les erreurs les plus coûteuses se répétent : oubli des correctifs, absence de segmentation, et sous-estimation du risque “identifiants”. Les contrôles doivent couvrir l’ensemble de la chaîne.

• Reporter les mises à jour critiques sur les postes et serveurs, surtout après publication
• Maintenir des mots de passe uniques et sans authentification multifacteur
• Autoriser des macros ou téléchargements sans politiques de contrôle
• Ne pas monitorer les connexions sortantes, alors que les infostealers exfiltrent souvent discrètement
• Ignorer la surface IoT, car un botnet peut naître d’équipements non durcis

Pour aller plus loin, adoptez une logique “défense en profondeur” : durcissement, segmentation, détection et réponse. Chaque couche limite une partie de la chaîne d’infection.

Quels réflexes appliquent encore ces leçons aujourd hui ?

Malgré des décennies d’évolution, les principes défensifs restent cohérents. Les correctifs doivent être déployés rapidement, les accès doivent être renforcés par MFA, et des sauvegardes testées réduisent le risque de perte durable. La surveillance complète la réduction de surface.

Sur le terrain, des équipes comme celles de CERT-FR insistent sur la préparation et la capacité de réponse. Cela signifie aussi documenter les procédures et entraîner les décisions en cas d’incident.

En pratique, une politique minimale peut s’écrire ainsi : identifier les postes sensibles, limiter les privilèges, et tracer les événements clés.

Sources et repères pour vérifier les tendances

Les points chiffrés et la lecture des tendances s’appuient sur des organismes reconnus. Ils aident à relier les épisodes historiques aux dynamiques actuelles. Cette section cite des repères vérifiables.

Sources : ENISA, rapports “Threat Landscape” et analyses récentes sur la menace ransomware et l’ingénierie sociale (2023-2024) ; FBI IC3, Internet Crime Report 2023 (publications 2024) ; Microsoft Security, analyses sur les infostealers et campagnes à base d’accès (2023-2024).