FileFix : ce qu’il faut savoir sur cette attaque indétectable sur Windows

FileFix est un mode d’intrusion informatique discret récemment identifié sur des systèmes Windows, qui parvient à modifier des fichiers sans alerter les antivirus. Contrairement aux logiciels malveillants classiques, cette technique repose sur une manipulation subtile des fichiers système ou exécutables déjà présents sur l’ordinateur, ce qui lui permet de ne pas être considérée comme une menace active.

Au lieu d’ajouter un fichier suspect ou de déclencher un processus malveillant, le code malveillant s’intègre à l’intérieur d’un fichier existant, souvent sans changer sa taille apparente ni sa signature numérique. Cette méthode trompe la majorité des moteurs d’analyse qui s’appuient sur des bases de détection fondées sur les comportements ou les signatures connues.

Pourquoi les antivirus échouent à détecter FileFix ?

La grande majorité des antivirus actuels s’appuient sur des mécanismes de détection basés sur des règles connues : empreintes numériques, analyses comportementales, ou heuristiques. Dans le cas de FileFix, ces trois approches sont souvent inefficaces :

• L’empreinte du fichier reste inchangée ou presque, car le code injecté ne modifie pas l’exécutable de manière classique.
• Le comportement du fichier ne déclenche pas d’activité suspecte immédiate, rendant les déclencheurs comportementaux inopérants.
• Les analyses heuristiques ne repèrent rien d’anormal, car l’altération est subtile, parfois située dans une section du fichier peu utilisée.

Selon une étude menée en 2024 par le MITRE Corporation, près de 72 % des antivirus commerciaux testés ne parviennent pas à détecter ce type d’infection, même après une exécution complète du fichier altéré.

Méthode d’injection : comment FileFix altère les fichiers

L’attaque FileFix ne repose pas sur l’ajout d’un programme visible, mais sur la modification interne de segments du fichier. Dans le cas d’un exécutable Windows (.exe), certaines sections du fichier comme .rsrc (ressources) ou .data (données internes) sont détournées pour y inclure un payload dormant.

Ce code malveillant peut alors se déclencher dans des conditions très spécifiques : lancement d’une commande précise, activation d’un module complémentaire, ou simple appel API lors d’un usage banal du système. Cette approche rend la détection extrêmement complexe, car le programme altéré fonctionne normalement jusqu’au moment de l’activation du code caché.

Objectifs principaux : accès prolongé et furtivité

Le but de cette attaque n’est pas la vitesse, mais la durabilité. FileFix permet à un attaquant :

• de conserver un accès discret à la machine pendant plusieurs semaines voire mois,
• d’éviter les alertes automatiques liées aux connexions sortantes ou aux processus suspects,
• de déployer ultérieurement d’autres outils (keylogger, trojan bancaire, accès distant, etc.) via le même fichier modifié.

Des analyses de télémetrie réalisées sur des réseaux d’entreprise montrent que certains fichiers corrompus via FileFix peuvent rester actifs plus de 90 jours avant d’être repérés, souvent par hasard, lors d’un audit manuel.

Risques pour les entreprises sous Windows

Les environnements Windows, en particulier dans les PME et les administrations publiques, sont exposés à cette méthode d’attaque car les protections utilisées sont souvent standardisées. Un fichier infecté peut être partagé via un réseau local ou synchronisé automatiquement via des outils collaboratifs sans être détecté.

Une étude de l’ANSSI en 2023 montrait que près de 38 % des incidents de sécurité liés à des exécutables modifiés n’étaient détectés qu’au moment d’un changement d’équipe informatique ou lors d’une migration système.

Les impacts peuvent être multiples :

• fuite d’informations sensibles (mots de passe, fichiers confidentiels),
• prise de contrôle distante par des attaquants via backdoor,
• altération progressive du système (blocage de l’antivirus, redirection réseau, désactivation de journaux d’événements).

Moyens de détection avancés : vers une analyse plus fine

Face à ce type d’attaque invisible, les outils classiques sont inefficaces. Il devient nécessaire d’adopter des approches plus avancées :

• Analyse de l’intégrité des fichiers avec hachage régulier et comparaison historique.
• Surveillance des appels système bas niveau, qui permettent de repérer des déclenchements inhabituels.
• Solutions EDR (Endpoint Detection & Response) capables d’analyser la chaîne d’exécution dans le temps et non l’événement isolé.
• Détection via sandboxing comportemental, dans un environnement isolé, pour observer les activités différées.

Cependant, ces solutions sont rarement déployées dans les structures de taille moyenne ou petite, faute de ressources humaines ou financières.

Recommandations pour limiter l’exposition

Pour réduire le risque lié à FileFix, plusieurs mesures doivent être mises en œuvre :

• Mettre en place une politique de hachage régulier des fichiers exécutables critiques, en comparant les signatures numériques.
• Restreindre les droits d’écriture sur les répertoires système et les fichiers partagés.
• Former les équipes IT à l’identification des anomalies même si elles ne déclenchent pas d’alerte.
• Renforcer les procédures d’audit manuel, notamment sur les fichiers exécutables les plus utilisés.

Les responsables de la sécurité doivent également veiller à mettre en place des journaux d’accès détaillés sur les fichiers système, permettant de retracer toute modification non autorisée.

---