Axelle Apvrille : “Il est plus facile d'écrire un malware que de le détecter” 

Comment analyse-t-on un malware aujourd'hui ? 

Notre travail consiste à désassembler un malware. Nous ne recevons jamais le code source, uniquement un binaire. Il faut donc retrouver le langage machine, comprendre la logique de son auteur puis reconstituer son fonctionnement. J'utilise souvent l'image d'un livre. On peut facilement produire un résumé, mais il est impossible de reconstituer le texte complet à partir de celui-ci. Avec un malware, c'est exactement le même principe. Une autre partie de mon travail consiste à améliorer les outils utilisés pour cette analyse. Les malwares évoluent constamment, entre autres avec l'apparition de nouveaux langages comme Go ou Rust. Nous devons donc adapter en permanence nos méthodes d'analyse. 

Pourquoi les analystes ne peuvent-ils plus suivre le rythme des cybercriminels ? 

La première raison est l'industrialisation de la cybercriminalité. Les groupes fonctionnent désormais comme de véritables entreprises. Ils recrutent, répartissent les rôles et disposent d'équipes spécialisées pour développer, diffuser ou maintenir leurs infrastructures. Cette organisation s'accompagne d'une explosion des volumes. En mai 2026, nous avons observé sur les serveurs internes de Fortinet environ 96 000 nouveaux malwares Android. Ce chiffre fluctue selon les périodes, mais il représente un ordre de grandeur d'environ 3 000 nouveaux échantillons par jour, avec des pics pouvant dépasser les 10 000.  

À cette échelle, l'automatisation est donc devenue indispensable. Lorsqu'une famille de malwares est disséquée, nous développons des mécanismes capables d'en reconnaître automatiquement les variantes suivantes. L'analyse humaine reste concentrée sur les techniques réellement nouvelles. Elles représentent probablement moins de 1 % des nouveaux échantillons, mais elles suffisent à mobiliser durablement les équipes de recherche. 

Comment l'intelligence artificielle transforme-t-elle l'analyse des malwares ? 

L'intelligence artificielle change le rapport de force dans les deux sens. Les cybercriminels peuvent l'utiliser pour développer leurs malwares plus rapidement, mais elle nous permet aussi d'accélérer leur analyse. Pendant longtemps, il était beaucoup plus facile d'écrire un malware que de le détecter. L'IA contribue aujourd'hui à rééquilibrer cette situation. Elle facilite le désassemblage, explique certaines portions de code et accélère les investigations. Dans les travaux que nous avons présentés à NorthSec 2025, nous avons observé des gains de temps compris entre 30 % et 80 % selon le type de malware analysé et l'expérience de l'analyste. Ces résultats reposent notamment sur des travaux menés autour du désassemblage assisté par IA et détaillés dans un article scientifique publié cette année. L'IA ne remplace toutefois pas l'expertise humaine. Les hallucinations existent toujours et la qualité des réponses dépend largement de la manière dont les questions sont formulées. Lui demander si un programme est malveillant m'intéresse peu. En revanche, lui demander d'expliquer précisément ce qu'un morceau de code envoie vers une URL ciblée est beaucoup plus pertinent. C'est ensuite à l'analyste d'interpréter cette information et de déterminer si le comportement est réellement malveillant.  

Comment les cybercriminels adaptent-ils leurs malwares aux nouveaux usages ? 

Les cybercriminels suivent avant tout les pratiques. Dès qu'une nouvelle technologie ou une nouvelle fonctionnalité est largement adoptée, ils cherchent à l'exploiter. En revanche, lorsqu'une technique fonctionne, ils ne cherchent pas nécessairement à la rendre plus sophistiquée. Sur Android, l'une des évolutions les plus marquantes est le détournement des fonctionnalités d'accessibilité. Elles ont été conçues pour faciliter l'utilisation du téléphone par les personnes en situation de handicap. Les malwares les exploitent désormais pour obtenir un contrôle très étendu sur l'appareil. L'attaque repose souvent sur de l'ingénierie sociale. L'utilisateur est amené à accorder lui-même cette autorisation à une application frauduleuse. Une fois cette permission obtenue, le malware peut superposer une interface transparente à celle d'une application bancaire. L'utilisateur pense saisir ses identifiants sur l'application officielle, alors qu'ils sont directement transmis à l'attaquant. Cette technique est aujourd'hui utilisée par une grande partie des malwares les plus efficaces sur Android. En 2026, des familles comme SpyNote, SpyMax ou Sturnus en sont de bons exemples. Elles cherchent principalement à récupérer les SMS, les codes d'authentification à double facteur, les identifiants bancaires et, plus largement, toute donnée sensible présente sur le téléphone. 

Pourquoi les objets connectés restent-ils un maillon faible de la cybersécurité ? 

Les objets connectés illustrent une autre évolution importante. Le malware Mirai a marqué un tournant en compromettant des milliers de caméras IP, de routeurs et d'autres équipements insuffisamment protégés pour les intégrer à des botnets. Depuis, d'autres familles comme Gafgyt, dont de nouvelles variantes continuent d'apparaître, poursuivent cette évolution. Cette vulnérabilité tient souvent à la conception même de ces équipements. Beaucoup ont été commercialisés rapidement et à faible coût. La sécurité est passée au second plan. L'objectif des attaquants n'est généralement pas d'espionner le propriétaire d'une caméra connectée. Ces équipements servent surtout de relais pour mener des attaques à grande échelle ou constituent un premier point d'entrée dans le réseau d'une entreprise. 

Les motivations des attaquants ont-elles évolué ? 

Pendant longtemps, les malwares poursuivaient essentiellement un objectif financier. Ils cherchaient à voler de l'argent, récupérer des données revendables ou obtenir une rançon. Le contexte international fait évoluer cette logique. Nous observons davantage d'opérations menées à des fins politiques, idéologiques ou étatiques. Et le rapport annuel de la cybercriminalité 2026 de la gendarmerie le confirme. L'attribution reste toutefois extrêmement difficile. Notre première mission consiste à détecter le malware et à empêcher sa propagation. Identifier avec certitude son commanditaire intervient dans un second temps et il est rare de pouvoir l'établir. Le niveau de sophistication apporte parfois des indices. Des malwares comme BPF Door, qui exploitent des mécanismes particulièrement avancés sous Linux, laissent penser que leurs auteurs disposent de moyens importants. Cela oriente l'analyse, mais ne constitue jamais une preuve. L'intelligence artificielle va continuer à faire évoluer ce paysage, mais je ne pense pas qu'elle transformera le métier d'analyste malware autant que celui des développeurs, des pentesters ou des chercheurs de vulnérabilités. Elle nous permet surtout d'aller plus vite et un peu plus loin. Le cœur du métier, lui, reste le même : comprendre comment fonctionne une menace avant qu'elle ne fasse davantage de victimes.