Protection 📝 Éliminer les infections par fichiers PDF ou DOC piégés sous Windows 10/11

[Sylvain*]

Éliminer les infections par fichiers PDF ou DOC piégés sous Windows 10/11

Introduction

Les fichiers PDF et DOC piégés sont fréquemment utilisés comme vecteurs d’infection sur Windows 10 et Windows 11, notamment via des pièces jointes de courriels frauduleux. Ces fichiers embarquent des macros, scripts ou objets OLE malveillants, capables d’exécuter du code à distance ou de télécharger des charges utiles dès leur ouverture. Ce tutoriel fournit une méthode rigoureuse pour détecter, analyser et bloquer ce type d’attaque.

---

Prérequis

• Connaissance approfondie de Windows

• Maîtrise des outils bureautiques et de sécurité Microsoft

• Droits administrateurs nécessaires

---

Niveau de difficulté

• Étape #1 : Désactivation de l’exécution automatique des macros

• Étape #2 : Analyse statique des fichiers suspects

• Étape #3 : Isolation et exécution en bac à sable

• Étape #4 : Suppression des fichiers et nettoyage système

• Étape #5 : Renforcement des protections de la suite bureautique

---

Les Avantages

• Étape #1 : Empêche toute exécution automatique de script

• Étape #2 : Détection préventive sans ouverture

• Étape #3 : Analyse comportementale sans impact sur le système

• Étape #4 : Nettoyage complet des artefacts potentiels

• Étape #5 : Prévention future renforcée

---

Les Inconvénients

• Étape #1 : Peut bloquer des fichiers légitimes à macros

• Étape #2 : Analyse manuelle fastidieuse

• Étape #3 : Nécessite un environnement virtuel sécurisé

• Étape #4 : Risque de faux négatif sans antivirus à jour

• Étape #5 : Paramétrage avancé requis dans les GPO

---

Étape #1

Ouvrir Word ou Excel

Aller dans Fichier > Options > Centre de gestion de la confidentialité

Accéder à Paramètres des macros

Sélectionner : Désactiver toutes les macros avec notification

---

Étape #2

Utiliser PowerShell pour extraire les métadonnées du fichier

Get-Item "C:\chemin\fichier.docm" | Format-List *

Vérifier l’extension réelle du fichier :

Get-Content "C:\chemin\fichier" -First 10

Scanner avec MpCmdRun.exe :

MpCmdRun.exe -Scan -ScanType 3 -File "C:\chemin\fichier"

Soumettre à VirusTotal en cas de doute

---

Étape #3

Copier le fichier dans une machine virtuelle isolée

Lancer avec l’outil Sysmon actif

Surveiller les appels vers Internet, création de processus, écriture disque

Analyser les logs :

Microsoft-Windows-Sysmon/Operational

---

Étape #4

Supprimer tous les fichiers identifiés comme infectés

Nettoyer les répertoires :

C:\Users%username%\AppData\Local\Temp

Exécuter :

sfc /scannow

Vider le cache Office :

C:\Users%username%\AppData\Local\Microsoft\Office\UnsavedFiles

---

Étape #5

Configurer les ASR Rules pour bloquer les macros malveillantes

Ouvrir Gpedit.msc >

Configuration utilisateur > Modèles d'administration > Microsoft Word/Excel > Sécurité > Centre de gestion de la confidentialité

Activer : Bloquer les macros provenant d’Internet

Empêcher l’exécution d’objets OLE via GPO

---

Astuce

Renommer les fichiers suspects en .txt avant analyse empêche toute exécution accidentelle lors de l’ouverture. Cela permet un examen plus sûr du contenu brut.

---

Mise en garde

Ne jamais activer une macro ou cliquer sur des boutons dans un fichier provenant d’une source inconnue. Un seul clic suffit pour installer un malware furtif ou déclencher une attaque à distance.

---

Conseil

Utilisez la vue protégée par défaut d’Office et activez l’option bloquer les fichiers contenant des macros si téléchargés depuis Internet pour limiter considérablement les risques d’infection.

---

Solutions alternatives

• doc pdf infecté macro détection windows

• analyse macro word excel powershell

• gpo blocage macro fichier internet

---

Références utiles

• Support Microsoft

• Microsoft Learn

• Recherche GitHub

---

Conclusion

Les fichiers PDF ou DOC piégés représentent une menace constante dans les environnements Windows, en particulier via les courriels. Une combinaison de désactivation des macros, d’analyse statique et d’exécution sécurisée permet de contenir et éliminer ces menaces. Le renforcement des politiques Office et l’éducation des utilisateurs restent des piliers essentiels pour prévenir ce type d’infection.