Comment vérifier si un processus est légitime ou malveillant sous Windows 11/10

Un processus inconnu dans le Gestionnaire des tâches, un nom étrange, une forte utilisation CPU ou une activité réseau inhabituelle peuvent susciter des inquiétudes.

Sous Windows 11/10, des dizaines de processus légitimes s’exécutent en arrière-plan. Mais un malware peut se dissimuler derrière un nom trompeur pour passer inaperçu.

Pour déterminer si un processus est légitime ou malveillant, il faut analyser plusieurs éléments : son emplacement, sa signature numérique, son comportement, sa persistance et son éventuelle détection par des antivirus.

Ce guide vous donne une méthode claire pour vérifier un processus suspect sans supprimer par erreur un composant système légitime.

En parallèle ; si vous suspectez une infection globale, consultez ce guide : Comment savoir si votre PC est infecté par un virus sous Windows 11/10 ?

Comment identifier un processus suspect sous Windows 11/10

Un virus ou un autre logiciel malveillant s’exécute généralement sous la forme d’un processus actif en arrière-plan. Examiner les processus en cours d’exécution sous Windows 11/10 est donc une étape essentielle pour déterminer si votre PC est infecté.

L’objectif est d’identifier un programme inhabituel, mal nommé ou incohérent avec votre utilisation.

Examiner les processus avec le Gestionnaire des tâches

Pour afficher les processus actifs :

Ouvrez le gestionnaire de tâches par un clic droit sur le menu Démarrer ou utilisez le raccourci clavier +X
Puis Gestionnaire des tâches. Vous pouvez aussi utiliser le raccourci clavier CTRL+MAJ+ESC
Ouvrez l’onglet Processus
Cliquez sur Plus de détails si nécessaire

Vérifiez :

Les programmes que vous ne reconnaissez pas
Une utilisation CPU ou disque anormalement élevée
Un nom étrange ou mal orthographié

Un processus consommant beaucoup de ressources alors que vous n’utilisez aucun logiciel lourd peut être suspect.

Malware : vérifier la présence de processus suspects en cours d’exécution dans Windows

Identifier le processus exact (onglet Détails)

Pour une analyse plus précise :

Ouvrez l’onglet Détails
Notez le nom exact du processus
Vérifiez le PID si nécessaire

Les malwares utilisent parfois un nom proche d’un processus système légitime (ex : svch0st.exe au lieu de svchost.exe).

Vérifier l’emplacement du fichier

Pour contrôler où se trouve le programme :

Faites un clic droit sur le processus
Cliquez sur Ouvrir l’emplacement du fichier

Un fichier situé dans :

C:\Windows\System32
C:\Program Files

est généralement légitime.

En revanche, un exécutable placé dans :

AppData
Temp
Un dossier au nom aléatoire

mérite une analyse approfondie.

Vérifier la signature numérique

Pour savoir si un fichier est signé :

Faites un clic droit sur le fichier
Cliquez sur Propriétés
Ouvrez l’onglet Signatures numériques

Une signature valide provenant de Microsoft ou d’un éditeur reconnu est rassurante.
L’absence de signature n’est pas forcément malveillante, mais elle doit inciter à la prudence.

Signature numérique des fichiers sur Windows et sécurité

Analyser un processus suspect avec VirusTotal

Si un processus vous semble suspect (nom inhabituel, forte utilisation CPU, comportement étrange), vous pouvez analyser son fichier exécutable avec VirusTotal, un service en ligne qui vérifie un fichier à l’aide de dizaines de moteurs antivirus.

Pour analyser un processus :

Faites un clic droit sur le processus dans le Gestionnaire des tâches
Cliquez sur Ouvrir l’emplacement du fichier
Copiez le fichier exécutable
Téléversez-le sur VirusTotal

VirusTotal affiche un résultat du type :

0/70 → Aucun moteur ne détecte le fichier
5/70 → 5 moteurs signalent un problème

Plus le nombre de détections est élevé, plus le risque est important.

Attention : une ou deux détections isolées peuvent correspondre à des faux positifs. Il est important d’interpréter le score avec prudence.

Pour un guide détaillé expliquant :

Comment utiliser VirusTotal
Comment interpréter les résultats
Comment analyser un hash au lieu d’un fichier
Comment vérifier une URL suspecte

Consultez le guide complet : VirusTotal : analyser et scanner des fichiers avec plusieurs antivirus

Analyser automatiquement les processus avec VirusTotal via Process Explorer

Plutôt que de vérifier manuellement chaque fichier suspect, vous pouvez utiliser Process Explorer (outil Microsoft Sysinternals) pour analyser automatiquement les processus actifs via VirusTotal.

Process Explorer est un gestionnaire des tâches avancé qui permet notamment :

D’afficher l’arborescence complète des processus
De vérifier les signatures numériques
D’analyser automatiquement les exécutables en ligne

Pour l’utiliser :

Téléchargez et lancez Process Explorer :

Process Explorer

Cliquez sur Options
Activez Check VirusTotal.com
Acceptez les conditions d’utilisation

Une nouvelle colonne VirusTotal apparaît alors avec un score du type 0/75.

Ce score indique :

Le nombre de moteurs antivirus ayant détecté le fichier
Le nombre total de moteurs utilisés

Un résultat 0/75 est généralement rassurant.
Un score élevé (par exemple 10/75 ou plus) doit attirer votre attention.

Pour un guide détaillé d’utilisation, consultez : Process Explorer : gestionnaire des tâches avancé

Comment vérifier si ordinateur a été hacké ou piraté avec Process Explorer

Vérifier la persistance d’un processus suspect

Un processus malveillant ne se contente pas d’être actif.
Il tente généralement de se relancer automatiquement après un redémarrage.

Si vous suspectez un processus précis, vous devez vérifier s’il est configuré pour démarrer automatiquement.

Vérifier si le processus est présent au démarrage

Ouvrez le Gestionnaire des tâches
Cliquez sur l’onglet Démarrage
Recherchez le nom exact du processus suspect

S’il apparaît dans la liste avec un statut Activé, cela peut indiquer une tentative de persistance.

Vérifier les tâches planifiées liées au processus

Appuyez sur Windows + R
Tapez taskschd.msc
Recherchez une tâche qui lance le même fichier exécutable

Ouvrez la tâche et vérifiez le chemin du programme exécuté.

Si la tâche lance précisément le fichier suspect, cela confirme une persistance programmée.

Examiner les tâches planifiées à la recherche de malware

Vérifier s’il est installé comme service

Appuyez sur Windows + R
Tapez msconfig
Allez dans l’onglet Services
Cochez « Masquer tous les services Microsoft«
Vérifier si un service inconnu ou suspicieux est présent

Afficher les services non Microsoft dans msconfig de Windows

Analyser un processus avec Process Explorer et Autoruns

Le Gestionnaire des tâches de Windows 11/10 permet une première analyse, mais il reste limité. Pour examiner en profondeur un processus suspect ou détecter une persistance cachée, il est recommandé d’utiliser des outils avancés de Microsoft Sysinternals.

Deux outils sont particulièrement utiles : Process Explorer et Autoruns.

Analyser un processus en détail avec Process Explorer

Process Explorer est un gestionnaire des tâches avancé qui fournit beaucoup plus d’informations que l’outil intégré à Windows.

Il permet notamment de :

Voir l’arborescence complète des processus
Identifier le processus parent
Vérifier la signature numérique en temps réel
Consulter les DLL chargées
Interroger automatiquement VirusTotal

Pour l’utiliser :

Téléchargez et lancez Process Explorer
Recherchez le processus suspect
Vérifiez la colonne Verified Signer
Activez l’option Check VirusTotal.com dans le menu Options

Un processus non signé, situé dans un dossier inhabituel et signalé par VirusTotal mérite une analyse approfondie.

Guide détaillé : Process Explorer : gestionnaire des tâches avancé

Détecter la persistance avec Autoruns

Si vous suspectez qu’un processus malveillant se relance automatiquement, Autoruns est l’outil le plus complet pour analyser les mécanismes de démarrage.

Il affiche :

Les programmes au démarrage
Les services
Les tâches planifiées
Les pilotes
Les extensions navigateur
Les clés de registre liées au lancement automatique

Autoruns permet d’identifier des éléments que le Gestionnaire des tâches ne montre pas.

Pour analyser :

Lancez Autoruns
Recherchez le nom du processus suspect
Vérifiez le chemin du fichier
Contrôlez la signature numérique

Un élément au nom étrange, non signé et situé dans AppData ou Temp doit être examiné avec prudence.

Guide détaillé :Autoruns : analyser et désactiver les programmes au démarrage de Windows

Quand faut-il réellement s’inquiéter ?

Un processus inconnu ne signifie pas automatiquement qu’il est malveillant. Windows 11/10 exécute de nombreux services en arrière-plan, dont certains portent des noms peu explicites. Il est donc important de ne pas paniquer au premier doute.

En revanche, certains signaux doivent réellement vous alerter, surtout lorsqu’ils se cumulent.

Combinaison de plusieurs indicateurs suspects

Vous devez commencer à vous inquiéter si le processus présente plusieurs des caractéristiques suivantes :

Indicateur	Niveau d’alerte
Nom proche système	Élevé
Absence signature	Moyen
Dossier Temp	Élevé
Score VirusTotal élevé	Critique
Persistance automatique	Critique

Un seul critère isolé ne suffit généralement pas. C’est la combinaison de plusieurs éléments qui doit attirer votre attention.

Le processus réapparaît après suppression

Si vous tentez de :

Terminer le processus
Supprimer le fichier
Désactiver son démarrage

et qu’il réapparaît automatiquement, cela peut indiquer :

Une persistance installée (tâche planifiée, service, clé registre)
Une infection plus avancée
Un malware actif en mémoire

Dans ce cas, une analyse plus poussée est nécessaire.

Modifications système associées

Un processus devient particulièrement suspect s’il s’accompagne de :

Désactivation de l’antivirus
Modification des paramètres proxy
Ajout d’un compte administrateur
Redirections navigateur

Ces comportements sont plus caractéristiques d’un malware que d’un simple programme mal configuré.

Signes complémentaires d’infection

Vous devez également vous inquiéter si le processus suspect est lié à :

Des fichiers chiffrés (ransomware)
Une activité réseau constante au repos
L’impossibilité d’accéder à des sites de sécurité
Des messages d’erreur inhabituels au démarrage

Que faire si le processus est malveillant ?

Si vos vérifications confirment qu’un processus est réellement malveillant sous Windows 11/10, il est important d’agir avec méthode. Supprimer un fichier au hasard ou forcer l’arrêt d’un processus sans analyse peut rendre le système instable.

Voici les étapes à suivre.