Fichiers ZIP et virus : extraire des archives en toute sécurité

Les fichiers ZIP peuvent-ils contenir des virus ? Comment extraire des archives en toute sécurité

Dans un contexte professionnel, les pièces jointes compressées sont monnaie courante : devis en ZIP, contrats en RAR, livrables en 7z. La plupart des utilisateurs double-cliquent sans hésiter. C'est précisément sur ce réflexe que comptent les attaquants. Un fichier compressé n'est pas un conteneur anodin — c'est un vecteur de livraison dont le contenu peut aller d'un ransomware à un script qui modifie silencieusement votre configuration système.

Cet article explique quelles menaces se cachent dans les archives, pourquoi votre antivirus local n'offre pas une protection complète, et comment un extracteur en ligne dans un environnement isolé réduit considérablement les risques.

Ce qui peut se cacher dans un fichier ZIP

Une archive est un conteneur. Elle peut contenir n'importe quoi — y compris :

• Des exécutables — fichiers .exe, .bat, .cmd, .vbs, .ps1 qui exécutent du code dès l'ouverture.
• Des documents Office avec macros — un .docx ou .xlsm qui, à l'ouverture, exécute une macro téléchargeant un deuxième payload en arrière-plan.
• Des charges JavaScript — des fichiers .js que Windows Script Host peut exécuter directement depuis le bureau.
• Des scripts obfusqués — du code délibérément illisible pour empêcher les scanners statiques de reconnaître un motif malveillant.
• Des doubles extensions — un fichier nommé facture.pdf.exe s'affiche comme facture.pdf dans Windows si les extensions sont masquées (paramètre par défaut). L'icône ressemble à un PDF. Le fichier est un exécutable.

Aucune de ces menaces ne nécessite de faille dans votre logiciel d'archivage. Il suffit d'extraire et d'ouvrir le fichier.

Comment les malwares se propagent via les archives

Le format archive est lui-même un outil d'ingénierie sociale. Les vecteurs les plus courants :

E-mails de phishing professionnels — un message se faisant passer pour une notification de livraison, une facture ou un document RH joint une archive ZIP. Le fichier malveillant échappe à certains filtres e-mail car il n'est pas visible avant l'extraction.

Faux téléchargements logiciels — les résultats de recherche pour des logiciels populaires ou leurs équivalents gratuits mènent fréquemment à des archives contenant le logiciel annoncé accompagné d'un keylogger.

Archives imbriquées — un ZIP dans un ZIP dans un ZIP. Chaque couche doit être extraite manuellement, ce qui épuise les scanners automatiques qui ne descendent qu'à un seul niveau de profondeur.

Archives protégées par mot de passe — l'attaquant envoie un ZIP avec le mot de passe indiqué dans le corps du message. L'archive étant chiffrée, aucun antivirus ne peut en analyser le contenu. L'utilisateur la déchiffre lui-même, court-circuitant totalement le scanner.

Les zip bombs : un minuscule fichier qui peut paralyser un système

Une zip bomb est une archive conçue pour se décompresser en une taille catastrophiquement grande. L'exemple de référence, 42.zip, occupe 42 kilo-octets sur disque. Complètement décompressé, il atteint environ 4,5 pétaoctets — de quoi saturer des milliers de disques durs et bloquer tout système qui tente de le traiter sans protection.

La technique repose sur la compression de données répétitives en couches. Compressée, une séquence d'un milliard d'octets identiques prend presque aucune place. Décompressée, votre système tente d'allouer de la mémoire et d'écrire des fichiers pour tout cela simultanément.

Un extracteur qui ne vérifie pas la taille non compressée avant d'extraire continuera jusqu'à épuiser le disque ou la mémoire.

Les attaques par traversée de chemin

Une attaque par traversée de chemin intègre un nom de fichier malveillant dans l'archive. Au lieu de document.txt, une entrée peut s'appeler ../../Windows/System32/drivers/etc/hosts ou ../../../.bashrc. Un extracteur vulnérable suit ce chemin littéralement et écrit le fichier en dehors du dossier d'extraction prévu.

En clair : l'attaquant contrôle où le fichier atterrit sur votre système. Il peut écraser des fichiers système, remplacer des fichiers de configuration ou déposer des exécutables dans des emplacements qui s'exécutent automatiquement au démarrage. L'archive a l'apparence d'un ZIP normal. Les dégâts se produisent silencieusement lors de l'extraction.

Pourquoi extraire localement est risqué

Extraire une archive localement expose simultanément trois couches de votre système :

1. Votre système de fichiers — traversée de chemin ou scripts auto-exécutés peuvent écrire partout où votre compte utilisateur a accès.
2. Votre antivirus — il ne détecte que ce qu'il connaît. Les payloads obfusqués, nouveaux ou chiffrés contournent régulièrement les AV locaux.
3. Votre logiciel de décompression — des vulnérabilités non corrigées dans WinRAR, 7-Zip ou l'extracteur intégré de Windows ont été exploitées en conditions réelles. Ouvrir une archive malformée peut suffire.

Un seul double-clic sur un fichier à l'intérieur de l'archive peut exécuter un script avant que votre antivirus n'ait eu le temps de réagir.

L'approche isolée : traiter les fichiers à distance

Quand vous extrayez une archive via un outil en ligne, l'extraction a lieu sur un serveur distant — pas sur votre appareil. Votre système d'exploitation, votre système de fichiers et vos applications locales ne sont jamais touchés. Si l'archive contient une zip bomb, elle frappe un conteneur sur le serveur. Si elle contient un exécutable, celui-ci réside dans un répertoire temporaire supprimé après votre téléchargement, et ne s'exécute jamais localement.

Ce n'est pas un contournement — c'est la séparation architecturalement correcte entre contenu non fiable et environnement local.

Ce que FileCrank fait concrètement pour vous protéger

L'outil d'extraction de FileCrank a été conçu en tenant compte de ces menaces spécifiques :

• Détection des zip bombs — la taille décompressée est vérifiée avant le début de l'extraction. Les fichiers qui dépasseraient les limites de sécurité sont rejetés immédiatement.
• Protection contre la traversée de chemin — tous les chemins de sortie sont assainis avant l'écriture. Les séquences de traversée (../, ..\\) sont normalisées pour que les fichiers extraits restent dans le répertoire prévu.
• Validation du type MIME — les en-têtes de fichiers (octets magiques) sont inspectés, pas seulement les extensions. Un fichier nommé photo.jpg qui est en réalité un exécutable Windows est détecté au niveau de l'en-tête.
• Nettoyage automatique — les archives uploadées et les fichiers extraits sont supprimés du serveur après votre téléchargement. Rien n'est conservé.
• Aucune installation requise — rien ne s'exécute sur votre appareil. Pas d'extension de navigateur, pas d'application de bureau, pas de risque lié à un logiciel installé.

Vous pouvez également réempaqueter des archives pour supprimer des fichiers indésirables avant de les partager, ou compresser des fichiers pour créer vos propres archives saines.

Liste de contrôle avant d'ouvrir une archive reçue

Vérifiez ces points avant d'extraire tout fichier compressé reçu :

• Avez-vous demandé ce fichier, ou est-il arrivé à l'improviste ?
• L'identité de l'expéditeur est-elle vérifiée — pas seulement un nom connu, mais un domaine e-mail validé ?
• Le nom du fichier correspond-il à ce que vous attendez ?
• L'archive contient-elle des exécutables, des scripts ou des fichiers Office avec macros ?
• Est-elle protégée par un mot de passe fourni dans le même message ? (Cela contourne délibérément les scanners AV.)
• Avez-vous consulté la liste des fichiers avant d'extraire la totalité ?

En cas de doute, utilisez l'extracteur en ligne pour inspecter le contenu dans un environnement isolé avant tout traitement local.

FAQ

Un fichier ZIP peut-il infecter votre ordinateur rien qu'en le téléchargeant ? Le téléchargement seul ne suffit généralement pas — le contenu malveillant doit être extrait et exécuté. Cependant, certains navigateurs décompressent automatiquement les fichiers, et des vulnérabilités dans les logiciels de décompression peuvent être déclenchées à l'ouverture.

Qu'est-ce qu'une zip bomb et comment s'en protéger ? Une zip bomb est une archive conçue pour se décompresser en une taille gigantesque, saturant disque dur ou mémoire jusqu'au blocage du système. La protection passe par un extracteur qui vérifie la taille non compressée avant d'écrire quoi que ce soit — ce que fait FileCrank avant tout traitement.

Est-il sécurisé d'ouvrir un ZIP reçu par e-mail ? Seulement si vous êtes certain de l'identité de l'expéditeur et du contexte. Les ZIP inattendus, ceux avec un mot de passe dans le même message et ceux contenant des .exe ou .vbs doivent être traités avec prudence.

Les antivirus peuvent-ils détecter les malwares dans un ZIP ? La plupart des AV modernes analysent le contenu des archives non chiffrées. Mais les archives protégées par mot de passe, profondément imbriquées, ou contenant des malwares nouveaux ou obfusqués échappent fréquemment à cette détection.

Pourquoi un extracteur en ligne est-il plus sûr qu'un logiciel local ? L'extraction se déroule sur un serveur distant. Votre système de fichiers local et vos applications ne sont jamais exposés. Une zip bomb frappe le bac à sable du serveur. Une tentative de traversée de chemin écrit dans un conteneur temporaire. Votre machine ne voit jamais les fichiers bruts extraits.