La Restauration du système ne supprime pas les virus : le mythe qui laisse les PC infectés

Ce que la Restauration du système photographie vraiment — et ce qu'elle ignore

Un point de restauration est un instantané du Registre Windows, des fichiers système et des pilotes : quelques centaines de mégaoctets gérés par les clichés instantanés de volume, créés avant les mises à jour, les installations de pilotes et certains programmes. Vos documents, téléchargements, profils de navigateur et pour l'essentiel tout votre profil utilisateur en sont volontairement exclus. Or les maliciels modernes vivent précisément là : lanceurs dans AppData, scripts dans Temp, raccourcis véreux dans le dossier Démarrage, extensions de navigateur détournées. Restaurez le système, et chacune de ces charges se réveille dès que le bureau apparaît.

Le mécanisme joue aussi en sens inverse. Les points de restauration peuvent contenir des fichiers système infectés d'avant vos soupçons, donc un retour en arrière peut ressusciter un cheval de Troie que vous aviez déjà nettoyé. Et des familles entières — voleurs de mots de passe et rançongiciels en tête — désactivent la restauration ou effacent les clichés existants parmi leurs premiers gestes : sur une machine réellement infectée, l'outil sur lequel vous comptiez n'existe peut-être déjà plus.

Le piège de sécurité du retour en arrière, dont personne ne parle

Même quand le rollback atteint l'infection — les vieux bootkits et les droppers de pilotes vivaient vraiment dans le périmètre de l'instantané — il rouvre aussitôt la brèche par laquelle le maliciel est entré. Remontez avant une mise à jour cumulative et vous exécutez un code que Microsoft a corrigé des semaines plus tôt, sur une machine que l'attaquant connaît déjà par cœur. Pendant ce temps, le voleur de mots de passe livré avec a continué d'aspirer vos identifiants pendant vos expériences. Prendre la restauration pour un antivirus ne se contente pas d'échouer : cela offre à l'attaquant la persistance et le temps.

Ce qui supprime vraiment une infection

L'ordre qui marche est ennuyeux : démarrez sous Microsoft Defender Offline ou un autre scanner de secours pour que le maliciel ne tourne pas pendant l'analyse ; supprimez ensuite la persistance — dossier Démarrage, tâches du Planificateur de tâches, clés Run du Registre — avec un vrai outil ; puis installez toutes les mises à jour en attente avant de refaire confiance à la machine. La restauration a un autre métier : annuler un mauvais pilote ou une mise à jour qui a cassé le démarrage — là, elle est rapide et pertinente. Pour tout ce qui a exfiltré des données — voleurs, enregistreurs de frappe, rançongiciels — le seul nettoyage honnête est une installation propre suivie d'une rotation des mots de passe depuis un autre appareil, car aucun nettoyeur au monde ne peut annuler le vol d'un mot de passe.

• Lancez une analyse hors ligne depuis la Sécurité Windows : Microsoft Defender Offline redémarre dans un environnement propre où rien ne peut se cacher en mémoire
• Passez ensuite les points de persistance classiques : dossier Démarrage, Planificateur de tâches, clés Run du Registre
• Réinitialisez raccourcis et profils des navigateurs : les hijackers et voleurs vivent là et survivent à tout retour en arrière
• Installez toutes les mises à jour en attente juste après le nettoyage, pour refermer vraiment la brèche d'origine
• Face aux voleurs ou rançongiciels, acceptez la perte : sauvegardez les fichiers, installation propre, changez chaque mot de passe depuis un autre appareil
• Gardez les points de restauration pour leur vrai métier — annuler pilotes et mises à jour ratés — pas pour désinfecter

Questions et réponses

À lire ensuite