Journaux système et suppression de malware
Définition
Les journaux système enregistrent ce qui se passe sur une machine : connexions, erreurs, événements de sécurité. Ils servent à détecter un incident, puis à guider la suppression d'un malware quand l'incident est confirmé.
Lire les journaux Windows avec l'Event Viewer
L'Observateur d'événements (Event Viewer) regroupe les journaux par catégories : Application, Security, System.
Le journal Security enregistre les connexions réussies et échouées. Une série d'échecs de connexion sur un compte administrateur la nuit, c'est un signal.
Chaque événement a un ID : l'ID 4625 correspond à un échec de connexion, l'ID 4624 à une connexion réussie. Ces identifiants se filtrent et se corrèlent.
Lire les journaux Linux
syslog est le format historique des journaux Unix. journalctl lit les journaux de systemd.
journalctl -u nginx affiche les journaux du service nginx. journalctl --since "1 hour ago" limite la recherche dans le temps. journalctl -f suit les événements en direct.
Les journaux se centralisent avec rsyslog ou un SIEM. Une machine compromise qui réécrit ses propres journaux est plus difficile à analyser.
Détecter un malware avec les journaux
Les signes classiques : processus inconnus au démarrage, connexions sortantes vers des adresses inhabituelles, échecs répétés de connexion, désactivation de l'antivirus.
Les journaux ne disent pas « malware » en toutes lettres. Ils montrent des anomalies ; le technicien les relie.
Supprimer un malware
La suppression suit un ordre précis. Déconnecter la machine du réseau pour stopper la propagation et l'exfiltration. Démarrer en mode sans échec : les logiciels au démarrage ne se chargent pas, le malware a moins d'endroits où se cacher. Analyser avec des outils dédiés : Windows Defender hors ligne, un outil de nettoyage, un scan antivirus complet. Restaurer depuis une sauvegarde propre si les fichiers sont corrompus ou chiffrés. Vérifier les journaux, les processus et les points de restauration, puis remettre la machine en service.
La restauration depuis une sauvegarde antérieure à l'infection est souvent plus fiable que la suppression manuelle.
Exemple concret
Un poste envoie du trafic vers une adresse inconnue à 3 h du matin. L'Event Viewer montre un nouveau service démarré la veille. Le technicien déconnecte la machine, la démarre en mode sans échec, y lance une analyse hors ligne qui identifie le malware, puis restaure les fichiers touchés depuis la sauvegarde de la veille au soir.