La définition de cheval de Troie tient en une phrase : c’est un programme malveillant déguisé en logiciel légitime, qui compte sur vous pour être exécuté. Contrairement à un virus, il ne se reproduit pas tout seul ; contrairement à un ver, il n’exploite pas de faille réseau pour se propager de machine en machine. Son seul talent, c’est la mise en scène — un installeur, une facture PDF, une mise à jour de navigateur — et il doit son nom à la ruse antique du cheval offert aux Troyens. En entreprise, il n’est presque jamais une fin en soi : il est le premier maillon d’une chaîne qui mène au vol d’identifiants, à l’espionnage de la messagerie — souvent après une campagne de phishing — ou au déploiement d’un rançongiciel. Ce guide donne la définition précise, les familles réellement actives, les vecteurs d’infection observés en PME et la procédure de désinfection d’un poste professionnel.
⏱ L’essentiel en 30 secondes
- Définition : un cheval de Troie (ou trojan) est un logiciel malveillant qui se fait passer pour un programme légitime afin d’être installé volontairement par sa victime.
- Ce qui le distingue : il ne se réplique pas. Un virus infecte d’autres fichiers, un ver se propage seul sur le réseau ; le cheval de Troie a besoin d’un humain qui clique.
- Six familles se partagent le terrain : bancaire, accès distant (RAT), dropper et loader, infostealer, porte dérobée et downloader.
- En cas d’infection : on isole le poste du réseau avant tout le reste, et un scan antivirus ne suffit pas à déclarer un poste professionnel sain.
- Enjeu principal : le cheval de Troie est le vestibule du rançongiciel — l’accès initial que les cybercriminels revendent ou exploitent eux-mêmes.
Cheval de Troie : la définition exacte
Un cheval de Troie est un code malveillant qui dissimule sa fonction réelle derrière une fonction annoncée crédible. L’utilisateur croit installer un convertisseur PDF ou une mise à jour ; il installe en réalité, en plus ou à la place, un programme contrôlé par un tiers. Trois éléments composent cette définition, et il les faut tous les trois :
- Un déguisement : nom, icône, éditeur usurpé, parfois signature numérique volée ou installeur qui pose réellement le vrai logiciel et la charge malveillante.
- Une exécution consentie : c’est la victime qui lance le programme, autorise l’installation ou colle la commande. Le cheval de Troie ne force aucune porte, on lui ouvre.
- Une charge utile cachée (le payload) : vol de données, prise de contrôle à distance, téléchargement d’autres malwares, installation d’une porte dérobée.
En version courte — la « cheval de Troie def » que l’on cherche en général — retenez ceci : c’est un malware qui obtient par la ruse ce qu’un virus obtient par la propagation. C’est un mode de livraison avant d’être un type de nuisance.
Vocabulaire officiel : Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, classe les chevaux de Troie dans sa fiche réflexe consacrée aux virus informatiques, c’est-à-dire aux programmes malveillants au sens large. Dans le langage technique, « virus » et « cheval de Troie » désignent pourtant deux mécanismes distincts : ne soyez pas surpris de lire « virus cheval de Troie » sur un site institutionnel.
Cheval de Troie, virus, ver : les différences qui comptent
La confusion entre ces termes change la façon de réagir : un ver se combat par le cloisonnement réseau et les correctifs, un cheval de Troie par le contrôle de ce que les utilisateurs peuvent exécuter.
| Type | Comment il se propage | Se réplique ? | Action de l’utilisateur ? | Objectif typique |
|---|---|---|---|---|
| Cheval de Troie | Déguisement : pièce jointe, faux installeur, faux site de téléchargement | Non | Oui — indispensable | Ouvrir un accès, voler, télécharger d’autres charges |
| Virus | Infecte d’autres fichiers ou programmes de la machine | Oui | Souvent | Se propager, altérer, détruire |
| Ver (worm) | Se copie seul via le réseau, une faille ou un partage | Oui | Non | Propagation massive et rapide |
| Rançongiciel | N’est pas un mode de propagation : c’est une charge utile | Non | Dépend du vecteur d’entrée | Chiffrer et extorquer |
| Logiciel espion | Le plus souvent livré par un cheval de Troie | Non | Dépend du vecteur | Surveiller, capturer, exfiltrer |
Conséquence pratique : un cheval de Troie n’explique jamais à lui seul une contamination de tout un parc. Si dix postes sont touchés, soit dix personnes ont exécuté le fichier, soit l’attaquant s’est déplacé latéralement à la main.
Le piège de la catégorie : un même code cumule souvent les rôles. Un fichier peut être livré comme cheval de Troie, se comporter comme infostealer pendant deux semaines, puis servir de loader pour un rançongiciel. Les familles ci-dessous ne sont pas des cases étanches, mais des fonctions.
Les six familles de chevaux de Troie
Les éditeurs et les autorités classent les trojans par ce qu’ils font une fois lancés. Voici les six fonctions qu’une PME rencontre réellement, avec des familles documentées par les opérations de police européennes.
1. Le cheval de Troie bancaire (banker)
Il intercepte tout ce qui touche à l’argent : frappes clavier sur les sites bancaires, fausses fenêtres de connexion affichées par-dessus l’application légitime (technique de l’overlay), codes de validation détournés, coordonnées de virement modifiées à la saisie. Qakbot (ou Qbot) en est l’archétype : dans son alerte de septembre 2023, publiée après le démantèlement conduit par le FBI avec les autorités françaises, allemandes, néerlandaises et britanniques, Cybermalveillance.gouv.fr le décrit comme « à l’origine un cheval de Troie bancaire ». Sur mobile, Anatsa (alias TeaBot) et Octo se diffusent via de fausses applications utilitaires, publiées jusque sur les magasins officiels avant d’en être retirées.
2. Le cheval de Troie d’accès distant (RAT)
Le Remote Access Trojan donne à l’attaquant ce qu’offre un logiciel de télémaintenance : clavier, écran, fichiers, microphone, webcam. C’est la famille la plus dangereuse pour une PME, parce qu’elle place un opérateur humain aux commandes d’un poste interne. AsyncRAT et Remcos figurent parmi les familles les plus détectées dans les campagnes par courriel. VenomRAT a été frappé en novembre 2025 lors d’une phase de l’opération Endgame, coordonnée par Europol et Eurojust avec la participation de la France : plus de 1 000 serveurs mis hors service et le principal suspect arrêté en Grèce.
3. Le dropper et le loader
Ces deux-là ne volent rien : ils installent. Le dropper transporte la charge en lui-même et la dépose sur le disque ; le loader est une tête de pont durable, capable de charger et recharger n’importe quel module à la demande. Ce sont eux que monétisent les courtiers d’accès initial, que l’ANSSI décrit comme des intermédiaires essentiels de l’écosystème cybercriminel : ils infectent en masse, puis revendent l’accès à un groupe de rançongiciel. SmokeLoader, IcedID, SystemBC, Pikabot, Bumblebee et TrickBot ont été visés par la première grande phase d’Endgame en mai 2024 ; Latrodectus a occupé la place laissée vacante.
4. Le voleur d’informations (infostealer)
La famille qui touche le plus directement les PME. Elle aspire en quelques secondes tout ce que stockent les navigateurs : mots de passe enregistrés, cookies de session, formulaires, portefeuilles de cryptomonnaies. Dans son Panorama de la cybermenace 2025, publié le 11 mars 2026 par le CERT-FR, l’ANSSI le définit comme un code destiné à collecter les informations d’une victime — identifiants stockés dans les navigateurs, cookies de session — et signale un recours récurrent à ces outils dans les attaques ayant conduit à des fuites de données. Lumma Stealer et Rhadamanthys reviennent le plus souvent ; RedLine a été démantelé lors de l’opération Magnus.
Le cookie de session vaut plus que le mot de passe. Un cookie volé permet de rejouer une session déjà authentifiée : l’attaquant entre dans la messagerie ou l’ERP sans mot de passe et sans déclencher la double authentification. Après une infection par infostealer, changer les mots de passe ne suffit pas : il faut révoquer les sessions actives.
5. La porte dérobée (backdoor)
Un accès permanent et discret, qui survit aux redémarrages et ne fait rien de visible : il attend. C’est la fonction recherchée par les attaquants qui pratiquent le pré-positionnement — s’installer aujourd’hui pour agir dans six mois. Elle passe de moins en moins par un exécutable exotique : l’ANSSI observe un détournement croissant d’outils d’accès distant légitimes — AnyDesk, TeamViewer, Atera, LogMeIn — installés par l’attaquant parce qu’ils passent sous le radar des antivirus. AnyDesk est l’outil le plus fréquemment observé dans les incidents traités par l’Agence.
6. Le downloader
Cousin du dropper, il ne contient aucune charge : il va la chercher sur Internet après son exécution. Le fichier initial est donc minuscule et quasi vide, difficile à détecter par signature — c’est le format des faux scripts et des raccourcis piégés. Des variantes plus spécialisées existent (trojan-DDoS, trojan-mineur, trojan-SMS), mais elles dérivent des six fonctions ci-dessus.
Comment un cheval de Troie entre réellement dans une PME
Les six vecteurs ci-dessous reviennent dans les incidents traités en TPE-PME. Aucun n’exige de compétence d’attaquant avancée.
La pièce jointe et le lien de messagerie
Toujours le premier vecteur, mais la forme a changé : les macros Office étant bloquées par défaut, les attaquants passent par des archives protégées par mot de passe — le mot de passe figure dans le message, ce qui empêche l’analyse automatique —, des images disque .iso, des raccourcis .lnk et des scripts. Le prétexte est presque toujours professionnel : facture, relance, devis, CV, ou réponse dans un fil d’échanges réel volé lors d’une compromission précédente. Notre guide pour contrôler un e-mail suspect en 60 secondes détaille les points de vérification dans l’ordre.
Le faux installeur, le logiciel craqué et le générateur de licence
En volume, le vecteur le plus sous-estimé en entreprise. Un salarié cherche un utilitaire gratuit, tombe sur un site de téléchargement plausible et installe un paquet contenant le vrai logiciel plus un infostealer. Les cracks et « keygen » sont pires : leur usage impose de désactiver l’antivirus — et aucune protection ne résiste à un utilisateur qui l’a lui-même neutralisée.
La publicité malveillante et l’empoisonnement des résultats de recherche
Le malvertising consiste à acheter un espace publicitaire — y compris en tête des résultats d’un moteur de recherche — pointant vers une copie conforme du site officiel d’un logiciel populaire. L’utilisateur tape le nom du logiciel, clique sur le premier lien, et télécharge depuis un domaine qui ressemble au bon. Même logique avec le SEO poisoning.
Le faux support technique et la manipulation ClickFix
Une page affiche un faux message d’erreur (« votre navigateur doit être mis à jour ») et demande de copier une commande et de la coller dans une fenêtre système pour « réparer ». La victime exécute alors elle-même le téléchargement : aucun fichier suspect à détecter en amont. L’ANSSI signale explicitement la progression de cette technique, dite ClickFix, et note qu’elle sert à diffuser massivement Lumma Stealer et Rhadamanthys. La variante téléphonique existe aussi : un faux « technicien Microsoft » fait installer un outil de prise en main à distance.
La clé USB et les périphériques
Moins fréquent qu’avant mais toujours vivant, notamment dans l’industrie et les collectivités où certains postes sont peu connectés. Clé trouvée sur un parking, clé de salon professionnel, clé qui circule entre poste personnel et poste de bureau : le fichier piégé s’y présente comme un document, avec une icône trompeuse.
Le prestataire et la chaîne d’approvisionnement
Le vecteur qui progresse le plus. L’attaquant ne vise pas votre PME mais votre prestataire informatique ou votre éditeur métier, puis exploite les interconnexions et les accès de télémaintenance pour atteindre ses clients. L’ANSSI consacre une part importante de son Panorama de la cybermenace 2025 à ces cas où un prestataire compromis sert de tremplin vers plusieurs organisations.
Les signaux qui doivent alerter sur un poste professionnel
Un bon cheval de Troie ne se voit pas : les infostealers travaillent en quelques dizaines de secondes puis s’effacent, les loaders restent volontairement inertes. N’attendez pas un symptôme spectaculaire — certains signaux justifient à eux seuls une vérification immédiate.
- Un logiciel d’accès distant apparu sans demande (AnyDesk, TeamViewer, Atera…) : le signal le plus grave de la liste.
- Des connexions à la messagerie depuis un pays inconnu, ou des règles de boîte créées à votre insu — par exemple déplacer en corbeille tout message contenant « facture ».
- L’antivirus désactivé ou les mises à jour bloquées sans que personne n’y ait touché.
- Une activité disque ou réseau soutenue alors que la machine est censée être au repos, la nuit notamment.
- Des alertes venues de tiers : un client qui signale un mail étrange venu de vous, un fournisseur qui a reçu un nouveau RIB, une banque qui bloque un virement.
- Une notification d’authentification que vous n’avez pas déclenchée — quelqu’un possède déjà le mot de passe et tente la seconde étape.
Le signal le plus fréquent n’est pas technique. Dans beaucoup de cas traités en PME, l’infection est découverte par un tiers : banque, client ou partenaire. Si quelqu’un d’extérieur signale un comportement anormal, traitez-le comme un incident, pas comme une fausse alerte.
Un doute sur un poste de votre parc ?
30 minutes avec un spécialiste pour trancher : compromission réelle ou fausse alerte. Offert, sans engagement.
Du double-clic au rançongiciel : la chronologie réelle
C’est le point à retenir s’il ne fallait en retenir qu’un : un rançongiciel n’apparaît jamais spontanément sur un réseau. Il est déployé à la fin d’une intrusion qui a très souvent commencé par un cheval de Troie exécuté sur un poste utilisateur. Cybermalveillance.gouv.fr le formule sans ambiguïté à propos de Qakbot : ce type de programme « sert régulièrement de point d’entrée pour des cybercriminels dans le réseau informatique de leurs victimes, par exemple pour des attaques par rançongiciel ».
Minute 0
Exécution.
Le code se déchiffre en mémoire, vérifie qu’il n’est pas analysé, puis contacte son serveur de commande et contrôle (C2). Rien n’apparaît à l’écran — ou une fausse erreur justifie que « le fichier ne s’ouvre pas ».
Minute 1
Persistance.
Tâche planifiée, clé de démarrage, service : plusieurs mécanismes de relance sont installés. C’est ce qui rend la désinfection manuelle si peu fiable.
Minutes 2 à 10
Les identifiants partent.
Mots de passe enregistrés, cookies de session et configurations de VPN sont exfiltrés. À partir de cet instant, ces secrets doivent être considérés comme publics.
Jours 1 à 15
Un humain prend la main.
L’accès est exploité ou revendu. L’attaquant cartographie le réseau, repère les sauvegardes et les comptes à privilèges, puis installe un outil d’accès distant légitime pour ne plus dépendre du malware d’origine.
Jour J
Exfiltration massive, puis chiffrement.
Les données sont volées d’abord — c’est le levier de chantage — puis le rançongiciel est déployé sur tout le parc, souvent un week-end. La demande de rançon arrive quand tout est joué.
Le léger recul des compromissions par rançongiciel ne signifie pas que la menace faiblit : le centre de gravité se déplace vers le vol de données, qui commence très souvent par un infostealer — donc par un cheval de Troie. Et les petites structures restent la cible majoritaire, parce qu’elles offrent le meilleur rapport effort/résultat. Pour chiffrer un tel incident, notre analyse du coût réel d’une cyberattaque pour une PME détaille les postes rarement anticipés ; les couches décrites dans notre guide anti-ransomware servent, elles, à casser la chaîne avant le chiffrement.
Désinfecter un poste professionnel : la procédure dans l’ordre
L’erreur classique consiste à lancer un scan antivirus et à reprendre le travail. Sur un poste relié à un domaine, à des partages et à une messagerie d’entreprise, cette approche laisse presque toujours quelque chose derrière elle.
- Isolez le poste du réseau — avant tout le resteDébranchez le câble réseau et coupez le Wi-Fi, physiquement : c’est la seule action qui interrompt immédiatement l’exfiltration et le canal de commande. N’éteignez pas la machine si une analyse est envisagée : la mémoire vive contient des preuves.
- N’utilisez plus ce posteNe vous y reconnectez à aucun compte et n’y branchez pas de clé de sauvegarde : tout ce que vous y saisirez sera capturé.
- Prévenez le responsable informatiqueEt notez la chronologie : heure, fichier suspect, expéditeur, actions déjà réalisées. Elle servira pour la déclaration d’incident et l’assurance.
- Changez les mots de passe depuis un autre appareil sainMessagerie professionnelle d’abord, puis banque, comptes d’administration, outils métier et VPN. Ceux qui étaient enregistrés dans le navigateur sont à considérer comme déjà connus de l’attaquant.
- Révoquez les sessions actives et vérifiez la messagerieDéconnecter toutes les sessions ouvertes neutralise les cookies volés. Contrôlez ensuite les règles de transfert, les délégations de boîte et les applications tierces autorisées.
- Analysez, sans vous en contenterAnalyse complète avec un antivirus à jour et sans dossier exclu — la procédure recommandée par Cybermalveillance.gouv.fr — croisée avec un second outil.
- Réinstallez le poste à partir de zéroSur une machine ayant hébergé un RAT, un loader ou une porte dérobée, c’est la seule remise à niveau fiable : effacement du disque, réinstallation du système, restauration des seuls documents issus d’une sauvegarde antérieure.
- Déclarez, conservez les preuves et déposez plainteSi des données personnelles ont pu être exfiltrées, la notification à la CNIL est à examiner dans le délai de 72 heures prévu par le RGPD. Déposez plainte et faites-vous accompagner : Cybermalveillance.gouv.fr propose un parcours d’assistance et une mise en relation avec des prestataires référencés.
Ne « réparez » pas un poste que vous allez réinstaller. Si l’incident touche plusieurs machines, un serveur ou des données sensibles, arrêtez les manipulations après l’isolation et faites intervenir un professionnel : la remédiation partielle laisse une porte ouverte et fait revivre l’incident un mois plus tard.
Pourquoi un scan antivirus ne suffit pas à déclarer un poste sain
L’antivirus reste indispensable : il bloque l’immense majorité des charges connues avant exécution. Mais une fois le cheval de Troie lancé, son verdict « aucune menace détectée » n’a pas la valeur qu’on lui prête.
- Les charges sont regénérées en permanence : la détection par signature arrive après.
- Le dégât principal est déjà fait : supprimer le fichier ne fait pas revenir les mots de passe et les cookies exfiltrés dans les secondes suivant l’exécution.
- La suite de l’intrusion utilise des outils légitimes : ni AnyDesk, ni un compte administrateur créé par l’attaquant ne seront signalés — pris isolément, ce sont des opérations normales.
- La persistance est multiple : le nettoyage supprime le fichier détecté, rarement les autres mécanismes de relance.
| Moyen | Ce qu’il traite | Ce qu’il ne traite pas | Verdict pour un poste pro compromis |
|---|---|---|---|
| Scan antivirus rapide | Fichiers connus dans les emplacements courants | Persistance, comptes créés, sessions volées | Insuffisant |
| Scan complet + second outil | Charges connues sur tout le disque | Variantes récentes, outils légitimes détournés | Nécessaire, pas suffisant |
| Solution EDR/XDR | Comportements suspects, chronologie de l’attaque, isolation à distance | Ce qui s’est produit avant son installation | Indispensable pour investiguer |
| Réinstallation complète | Toute la persistance sur ce poste | Identifiants volés, autres machines touchées | La seule remise à zéro fiable |
| Rotation des secrets + révocation des sessions | Réutilisation des identifiants et cookies volés | Le poste lui-même | Obligatoire, en parallèle |
C’est toute la différence entre un antivirus grand public et une solution de détection et réponse : la première regarde les fichiers, la seconde les comportements — notre comparatif antivirus d’entreprise, EDR ou XDR détaille ce que chaque niveau apporte pour une structure de moins de cinquante postes. En amont, trois mesures font l’essentiel du travail : retirer les droits administrateur aux utilisateurs, interdire par écrit les logiciels craqués, et raccourcir le délai entre le clic et le signalement par une sensibilisation régulière des équipes. En aval, une sauvegarde correctement dimensionnée, dont une copie au moins est déconnectée ou immuable, décide si la fin de l’histoire est une réinstallation d’un jour ou un arrêt de trois semaines.
Ce que les opérations de police changent — et ne changent pas. Les démantèlements coordonnés par Europol et Eurojust, comme l’opération Endgame qui a visé les grands loaders en mai 2024 puis Rhadamanthys et VenomRAT en novembre 2025, font baisser le volume d’infections pendant quelques mois. Mais l’écosystème se reconstitue : quand une famille tombe, une autre occupe la place.
Un cheval de Troie, ça se découvre trop tard
Droits administrateur, accès distants, sauvegardes, sessions de messagerie : un spécialiste fait le point en 30 minutes et identifie ce qui laisserait passer une infection jusqu’à vos serveurs.
Demander mon diagnostic offert
TPE & PME · Réponse sous 24 h ouvrées · Var / PACA & toute la France à distance
FAQ — Définition et traitement d’un cheval de Troie
Quelle est la définition d’un cheval de Troie en informatique ?
Un cheval de Troie est-il un virus ?
Comment savoir si mon ordinateur a un cheval de Troie ?
Un antivirus suffit-il à supprimer un cheval de Troie ?
Un cheval de Troie peut-il infecter un téléphone ?
Que doit faire une entreprise juste après avoir détecté un cheval de Troie ?
Un cheval de Troie n’est pas un accident isolé : c’est le premier chapitre d’une histoire qui se termine souvent par un rançongiciel ou une fuite de données. Pour aller plus loin, revoyez les couches décrites dans notre dossier anti-ransomware, ou faites simplement le point en 30 minutes avec votre diagnostic cybersécurité offert — pour savoir si, sur votre parc, un double-clic malheureux resterait un incident ou deviendrait une crise.
Laisser un commentaire