J'ai testé Windows 11 25H2 contre un vrai ransomware – voici ce qui s'est passé

Comment le test a été configuré

Un test de ransomware contre Windows 11 est en réalité un test de quatre couches distinctes, et non un seul antivirus. Dans la vidéo, le test s'exécute sous Windows 11 25H2 dans un laboratoire entièrement isolé, sur une machine jetable qui est ensuite essuyée - le seul moyen sûr de réaliser un tel test. La question à laquelle on répond n'est pas simplement "l'antivirus l'a-t-il détecté ?", mais comment chaque couche intégrée se comporte, dans l'ordre, lorsqu'un véritable chiffreur est lâché.

Couche 1 – SmartScreen évalue le dossier à la porte

La plupart des ransomwares n'arrivent pas par magie. Il arrive sous forme de téléchargement, de pièce jointe à un e-mail ou de fichier copié à partir d'une clé USB - et il prétend généralement être autre chose : une facture, un CV, un crack logiciel, une facture. SmartScreen est le point de contrôle à cette porte. Lorsque vous exécutez un fichier provenant d'Internet, Windows vérifie sa réputation. Un fichier que des millions de PC ont exécuté en toute sécurité passe tranquillement ; un fichier flambant neuf ou inconnu déclenche l'écran d'avertissement bleu sur lequel tant de personnes cliquent sans lire.

Cet avertissement n'est pas une décoration : c'est le calque qui fonctionne exactement comme prévu, vous indiquant que ce fichier n'a aucun historique. La limite honnête : SmartScreen juge la réputation, pas les intentions. Un fichier nouveau mais inoffensif est averti, et un fichier qui s'est largement répandu avant que quiconque ne l'ait signalé peut passer. Il s'agit d'un premier filtre solide, pas d'un verdict.

Couche 2 – Vérifications de la réputation et du cloud en coulisses

Defender ne s'appuie pas uniquement sur la base de données de signatures stockée sur votre PC. Lorsque la protection fournie par le cloud est activée, un fichier suspect est également vérifié par rapport aux informations cloud constamment mises à jour de Microsoft, et la soumission automatique d'échantillons peut envoyer un fichier douteux pour une analyse plus approfondie. C'est ainsi qu'une menace apparue quelque part dans le monde il y a une heure peut être reconnue sur votre PC aujourd'hui, et non après la prochaine mise à jour de la base de données.

Ces deux options se trouvent dans Sécurité Windows > Protection contre les virus et les menaces > Paramètres de protection contre les virus et les menaces > Gérer les paramètres. Sur de nombreux PC, ils sont activés par défaut, mais sur les PC sur lesquels quelqu'un a déjà « optimisé » Windows ou désactivé les fonctionnalités de Defender, ils sont silencieusement désactivés. Cette seule différence explique pourquoi un même test peut se terminer différemment sur deux machines apparemment identiques.

Couche 3 – Le Defender surveille le comportement, pas seulement les fichiers

Le travail antivirus classique consiste à faire correspondre les fichiers avec des signatures incorrectes connues. Les ransomwares échouent facilement, car chaque campagne peut utiliser des fichiers fraîchement compressés que personne n'a vus auparavant. Ainsi, Defender surveille également le comportement : un programme qui commence soudainement à ouvrir et à réécrire des centaines de documents, de photos et de feuilles de calcul en quelques secondes se comporte comme un ransomware, quel que soit son nom de fichier - et une surveillance du comportement ainsi qu'une protection en temps réel existent pour interrompre exactement ce modèle.

L'observation des comportements est puissante mais pas parfaite. Il faut quelques fichiers d'activité avant que le modèle soit indéniable, et un chiffreur rapide sur un SSD rapide est rapide. C'est la raison honnête pour laquelle aucun expert honnête ne promet que l'antivirus à lui seul assure votre sécurité - et c'est pourquoi la couche suivante existe.

Couche 4 – L'accès contrôlé aux dossiers protège les fichiers eux-mêmes

L'accès contrôlé aux dossiers change la question. Au lieu de demander « ce programme est-il mauvais ? », il demande « ce programme est-il sur la liste autorisée pour toucher vos dossiers importants ? » Les documents, images, vidéos, musique et bureau sont protégés par défaut et vous pouvez ajouter vos propres dossiers de travail. Tout programme non fiable qui tente de modifier les fichiers de ces dossiers est bloqué - y compris un tout nouveau chiffreur que les couches 1 à 3 n'ont jamais vu.

Voici le piège qui décide de la plupart des résultats dans le monde réel : L'accès contrôlé aux dossiers est désactivé par défaut sur une installation Windows normale, car une protection trop stricte peut parfois bloquer un programme légitime. Vous l'activez dans Sécurité Windows > Protection contre les virus et menaces > Protection contre les ransomwares > Gérer la protection contre les ransomwares. De tous les paramètres de ce guide, c'est celui qui manque à la plupart des ordinateurs domestiques.

Protection contre les altérations - la garde sur les gardes

Chaque calque ci-dessus dépend du maintien de ses paramètres. Les logiciels malveillants modernes le savent, et l’une de leurs premières mesures consiste souvent à désactiver discrètement Defender. La protection contre les altérations existe pour arrêter exactement cela : lorsqu'elle est activée, les paramètres clés de Defender ne peuvent pas être modifiés par des applications ou des scripts - uniquement par vous, dans l'application de sécurité Windows. Il se trouve sur la même page Gérer les paramètres que celle du cloud à l'étape 3.

Dans un test - et dans un incident réel - c'est la différence entre les défenses qui ripostent et les défenses qui ont été silencieusement supprimées avant le début du combat. Vérifiez qu'il est allumé ; cela prend dix secondes.

La couche en dehors de Windows : votre sauvegarde hors ligne

Chaque couche ci-dessus tente d'arrêter l'attaque. La couche de sauvegarde suppose que l’attaque a réussi – et que cela n’a pas d’importance. Le ransomware ne peut pas chiffrer une copie qu'il ne peut pas atteindre, donc une copie de sauvegarde doit se trouver dans un endroit sur lequel le PC infecté ne peut pas écrire : un disque externe débranché après la sauvegarde, ou un stockage cloud avec un historique de versions approprié.

Le verdict : une liste de contrôle, pas un score

Un test en laboratoire montre comment ces couches se comportent par rapport aux échantillons choisis ce jour-là, avec ces paramètres. Cela ne couronne pas éternellement un gagnant : les attaquants changent constamment d’emballage et d’astuces, et Microsoft met constamment à jour ses informations. Windows 11 25H2 conserve le même modèle en couches plutôt que de le remplacer : la différence pratique pour la plupart des utilisateurs réside dans une intelligence et des paramètres par défaut à jour, et non dans un tout nouveau bouclier.

Ce qui ressort honnêtement du test, c'est une liste de contrôle, pas un score. Obtenez ces cinq bons résultats et vous aurez reproduit la partie la plus importante de n'importe quel résultat de test sur votre propre PC : (1) respectez l'avertissement SmartScreen, (2) la protection fournie par le cloud est activée, (3) la protection contre les falsifications est activée, (4) l'accès contrôlé aux dossiers est activé, (5) une copie de sauvegarde conservée hors ligne. Regardez la vidéo complète ci-dessus pour voir le test lui-même, puis appliquez les paramètres.