PUA (Potentially Unwanted Application) : comprendre et gérer les logiciels indésirables dans votre environnement informatique

Qu'est-ce qu'un PUA et pourquoi est-ce important ?

Dans le domaine de la cybersécurité, on entend souvent parler de virus, de ransomwares ou de chevaux de Troie. Mais il existe une catégorie de logiciels moins connue, et potentiellement dangereuse : les PUA, ou Potentially Unwanted Applications, que l'on traduit en français par « applications potentiellement indésirables ».

Contrairement à un malware classique, un PUA n'est pas nécessairement malveillant au sens strict du terme. Il s'agit d'un logiciel qui, selon le contexte ou l'environnement dans lequel il est installé, peut être considéré comme indésirable ou problématique. La notion de « potentiellement » est ici clé : ce qui est acceptable dans un environnement donné peut être inacceptable dans un autre.

Voici quelques exemples concrets de PUA que vous pourriez rencontrer :

Des adwares : logiciels qui affichent de la publicité de manière intrusive et collectent des données sur vos habitudes de navigation.
Des outils d'accès à distance : des logiciels comme VNC, TeamViewer ou AnyDesk sont légitimes pour un technicien, mais totalement indésirables s'ils sont installés à l'insu d'un utilisateur.
Des logiciels de surveillance (stalkerware) : des applications qui permettent de surveiller l'activité d'un utilisateur sans son consentement.
Des optimiseurs système douteux : logiciels qui prétendent améliorer les performances de votre ordinateur, mais dont l'utilité réelle est discutable et qui peuvent collecter des données personnelles.
Des extensions de navigateur non sollicitées : installées en même temps qu'un autre logiciel, sans que l'utilisateur en ait vraiment conscience.
Des cryptominers : logiciels qui utilisent les ressources de votre machine pour miner des cryptomonnaies à votre insu.
Des libraires JS ou PHP obsolètes qui contiennent des vulnérabilités connues, comme par exemple des vieilles version de JQuery

Même s'ils ne détruisent pas directement vos données, les PUA représentent des risques concrets : dégradation des performances de votre système, collecte non autorisée de données personnelles ou professionnelles, ouverture de failles de sécurité exploitables par des attaquants, et dans certains cas, installation silencieuse d'autres logiciels malveillants. Dans un environnement professionnel où la sécurité des données est primordiale, la présence d'un seul PUA non détecté peut avoir des conséquences sérieuses.

C'est pourquoi la question de leur détection, et de la politique adoptée par les entreprises à leur égard, est un sujet stratégique en cybersécurité.

Les politiques de détection des PUA : un choix stratégique pour chaque organisation

Des besoins différents selon les organisations

Face aux PUA, toutes les organisations ne réagissent pas de la même façon, et c'est parfaitement normal. La politique de détection adoptée dépend en grande partie de l'usage qui est fait des outils informatiques, du secteur d'activité, du niveau de sensibilité des données traitées et des exigences réglementaires en vigueur.

Prenons quelques exemples concrets pour illustrer cette diversité :

Un cabinet médical ou un établissement de santé traite des données patients extrêmement sensibles et soumises au secret médical. Dans ce contexte, la moindre fuite de données peut avoir des conséquences juridiques et humaines graves. La politique de sécurité sera donc très stricte : tout logiciel non expressément autorisé sera bloqué, y compris les PUA. Un outil d'accès à distance installé sur un poste médical sans validation préalable est une menace inacceptable.

Une agence de développement informatique peut avoir besoin d'utiliser des outils de tests de sécurité, des générateurs de clés, des logiciels d'analyse réseau ou des outils de débogage avancés. Ces outils sont souvent classés comme PUA par les solutions antivirus, car ils peuvent être utilisés à des fins malveillantes. Bloquer systématiquement tous les PUA dans cet environnement nuirait à la productivité des équipes techniques.

Une grande entreprise industrielle peut quant à elle disposer de différents niveaux de postes informatiques : des postes administratifs pour lesquels une politique très stricte est appliquée, et des postes techniques en atelier où certains logiciels de diagnostic, habituellement classés comme PUA, sont indispensables au bon fonctionnement de la production.

Des usages antivirus très variés

Il faut également garder à l'esprit que les signatures antivirales ne sont pas uniquement utilisées pour protéger les postes de travail. Leur champ d'application est bien plus large, et l'usage conditionne directement la politique de détection des PUA à adopter.

Sur un serveur de fichiers, les signatures antivirales sont utilisées pour analyser les fichiers stockés et partagés sur le réseau interne. L'objectif est d'éviter qu'un fichier infecté ou indésirable se propage à l'ensemble de l'organisation. Dans ce cas, détecter les PUA est souvent souhaitable, car ils peuvent servir de vecteur d'infection.

Sur un serveur de messagerie, l'antivirus analyse les pièces jointes des e-mails entrants et sortants. Des outils de contrôle à distance, des scripts d'administration ou des outils de test envoyés par e-mail peuvent légitimement être classés comme PUA. La politique à adopter dépendra du type de pièces jointes que l'entreprise est amenée à recevoir.

Sur un proxy réseau, les signatures sont utilisées pour analyser le trafic web en temps réel. L'enjeu est de bloquer le téléchargement de logiciels indésirables avant même qu'ils n'atteignent les postes de travail. C'est souvent l'environnement où une politique de détection maximale des PUA est la plus pertinente.

En résumé, la politique de détection des PUA n'est pas un choix binaire (« tout détecter » ou « ne rien détecter ») mais une décision stratégique qui doit être adaptée à chaque environnement, à chaque usage et à chaque niveau de risque. La difficulté réside dans le fait de trouver le bon équilibre entre sécurité maximale et continuité opérationnelle.

L'approche de SecuriteInfo.com : détection maximale et contrôle total pour l'utilisateur

Le principe fondateur : ne rien laisser passer

SecuriteInfo.com a fait le choix délibéré d'une philosophie de détection maximale. Le raisonnement est simple et pragmatique : il vaut mieux détecter trop que pas assez. Lorsqu'un logiciel représente un risque potentiel, qu'il soit classé malware, exploit, vulnérabilité connue ou PUA, les signatures antivirales de SecuriteInfo.com sont conçues pour le détecter.

Cette approche garantit une couverture « 0 hour », c'est-à-dire une détection au plus tôt des nouvelles menaces, sans attendre qu'un logiciel indésirable soit officiellement reconnu comme malveillant par l'ensemble de la communauté cybersécurité. Dans le domaine de la sécurité informatique, chaque heure de délai dans la détection d'une menace peut se traduire par une compromission de données ou une propagation à l'ensemble du réseau.

Cette couverture étendue s'applique à toutes les catégories de menaces : malwares (virus, trojans, ransomwares), exploits (codes qui exploitent des vulnérabilités logicielles), vulnérabilités connues (CVE), et bien sûr les PUA dans toute leur diversité.

Pourquoi SecuriteInfo.com ne peut pas adapter ses signatures à chaque client

SecuriteInfo.com fournit ses signatures antivirales à une multitude de clients aux profils et aux besoins très différents. Certains les utilisent pour sécuriser un serveur de fichiers, d'autres pour filtrer les flux de messagerie, d'autres encore pour contrôler le trafic réseau via un proxy. Chaque déploiement est unique, et chaque organisation dispose de sa propre politique de cybersécurité.

Il serait donc impossible, et contre-productif, pour SecuriteInfo.com de proposer des signatures « sur mesure » adaptées aux besoins spécifiques de chaque client. En revanche, il est tout à fait possible de fournir les signatures les plus complètes possible, et de laisser à chaque client la responsabilité et la liberté d'adapter cette détection à son contexte.

C'est précisément la démarche adoptée par SecuriteInfo.com. La règle est la suivante : détection maximale par défaut, personnalisation par choix.

Le fichier .ign2 : l'outil de personnalisation au service de vos besoins

Pour permettre à chaque client d'adapter finement la détection à sa politique interne, SecuriteInfo.com propose un mécanisme simple et efficace : le fichier d'exclusion avec l'extension .ign2, utilisé dans le cadre de l'antivirus ClamAV.

Le fonctionnement est intuitif : dans ce fichier, il suffit de lister le nom des signatures que l'on souhaite désactiver. ClamAV ignorera alors ces signatures lors des analyses, sans pour autant affecter les autres détections.

Concrètement, voici comment cela fonctionne dans la pratique :

Imaginons que votre entreprise utilise légitimement un outil d'accès à distance, détecté par les signatures de SecuriteInfo.com comme PUA. Plutôt que de désactiver l'ensemble de la détection des PUA, ce qui affaiblirait considérablement votre niveau de sécurité, vous pouvez simplement ajouter le nom de cette signature spécifique dans votre fichier .ign2. L'outil sera alors ignoré lors des analyses, tandis que tous les autres PUA resteront détectés normalement.

Ce mécanisme offre plusieurs avantages majeurs :

Une granularité fine : vous choisissez exactement quelles signatures désactiver, sans impacter les autres.
Une traçabilité : le fichier .ign2 constitue un registre de toutes les exclusions volontairement accordées par votre équipe de sécurité.
Une réversibilité : si un outil précédemment autorisé devient une menace (par exemple après une mise à jour malveillante), il suffit de supprimer son entrée du fichier .ign2 pour que la détection soit à nouveau active.
Une documentation des exceptions : les exclusions étant explicites, elles peuvent faire l'objet d'une revue périodique dans le cadre de vos audits de sécurité.

La documentation complète sur la mise en place du fichier .ign2 et le processus de whitelisting des signatures ClamAV est disponible directement sur le site SecuriteInfo.com, à la page dédiée au whitelisting des signatures ClamAV.

Une valeur ajoutée concrète pour les informaticiens et les équipes sécurité

L'approche de SecuriteInfo.com répond à un besoin réel exprimé par de nombreux administrateurs système et responsables de la sécurité informatique : disposer d'une base de signatures complète et régulièrement mise à jour, sans être contraint de choisir entre exhaustivité et opérabilité.

En matière de cybersécurité, le principe de précaution s'impose : mieux vaut analyser une alerte sur un PUA autorisé (un faux positif maîtrisé) que de laisser passer un logiciel réellement malveillant. L'utilisation du fichier .ign2 permet justement de gérer ces faux positifs de manière structurée, en les documentant et en les validant explicitement.

De plus, les signatures de SecuriteInfo.com sont mises à jour en permanence pour intégrer les nouvelles menaces au plus tôt. La détection « 0 hour » garantit que même des menaces très récentes, qui n'ont pas encore été intégrées dans les bases officielles des grands éditeurs antivirus, seront identifiées et bloquées.

Conclusion : la détection maximale des PUA, un pilier d'une cybersécurité robuste

Les PUA ne sont pas des menaces anodines. Bien qu'ils ne soient pas toujours malveillants dans tous les contextes, ils représentent un risque réel pour la sécurité de votre système d'information, que ce soit par la collecte de données non autorisée, la dégradation des performances ou leur utilisation comme vecteur d'attaques plus sérieuses.

La politique de détection des PUA est un choix stratégique qui doit refléter la réalité de votre environnement informatique : le type de données traitées, les outils utilisés, les exigences réglementaires et les usages spécifiques de vos équipes. Il n'existe pas de réponse universelle, mais il existe une approche qui donne à chaque organisation les moyens de prendre la bonne décision.

C'est précisément ce que propose SecuriteInfo.com : des signatures antivirales qui offrent la détection la plus complète possible (malwares, exploits, vulnérabilités et PUA), mise à jour en temps réel pour une protection « 0 hour », combinée à un outil de personnalisation simple et puissant via le fichier .ign2. Vous bénéficiez ainsi du meilleur des deux mondes : une sécurité maximale par défaut et la flexibilité nécessaire pour adapter cette protection à vos besoins spécifiques.

En adoptant cette approche, vous faites le choix d'une cybersécurité proactive et responsable : vous n'attendez pas qu'une menace soit officiellement reconnue pour agir, vous disposez d'une visibilité totale sur ce qui circule dans votre système d'information, et vous gardez le contrôle sur les exceptions accordées, en toute transparence.

Dans un paysage de menaces en constante évolution, où les attaquants rivalisent d'ingéniosité pour contourner les protections, la détection maximale n'est pas un excès de prudence : c'est une nécessité.

ClamAV™ est une marque déposée par Cisco Systems, Inc.

Quelques suggestions sur le sujet des malwares et PUA

Vous avez aimé cet article ? Voici quelques suggestions qui devraient vous plaire :