Cracks, keygens et téléchargements douteux : pourquoi l'antivirus alerte, et pourquoi il ne faut pas l'ignorer

Un crack ou un keygen déclenche l’antivirus parce qu’il fait ce que font les logiciels malveillants : il modifie un autre programme et se cache dans un fichier compressé. L’alerte est donc le plus souvent justifiée, et la consigne « désactivez votre protection pour installer » est le véritable piège : elle neutralise la seule défense qui regardait le fichier. Les attaquants ne forcent pas une porte qu’on leur ouvre. Dans la majorité des infections, la faille n’est pas dans le logiciel de protection, mais dans le geste de l’utilisateur qui le contourne.

De quoi parle-t-on exactement

Trois objets sont voisins, et leurs risques diffèrent peu.

Un crack est un fichier qui remplace ou modifie un exécutable pour lever la limitation d’un programme payant : fin de la période d’essai, déblocage de fonctions, suppression de la vérification de licence. Un keygen est un petit programme qui prétend générer une clé d’activation valide. Un faux installateur est un fichier présenté comme le logiciel recherché, souvent un utilitaire connu, un jeu ou un codec, et qui installe autre chose, parfois en plus du vrai logiciel.

Tous trois se téléchargent depuis des sites non officiels, des forums, des vidéos qui en donnent le lien, ou des pages de résultats d’un moteur de recherche. Tous trois exigent que l’utilisateur lance le fichier lui-même, avec parfois des droits d’administrateur. Cette exécution volontaire est ce qui les rend efficaces : il n’y a ni faille à exploiter, ni protection à contourner de force, puisque c’est l’utilisateur qui fait le travail.

Pourquoi l’antivirus réagit

Un antivirus ne lit pas les intentions, il compare des fichiers et des comportements à ce qu’il connaît. Un crack coche plusieurs cases suspectes.

• Il modifie le code d’un autre programme ou injecte des instructions dans un processus en cours. C’est la définition de son rôle, et aussi celle d’un grand nombre de logiciels malveillants.
• Il est souvent compressé ou chiffré (« packé ») pour qu’on ne puisse pas lire son contenu. Les attaquants utilisent la même technique pour échapper aux analyses.
• Il demande des droits élevés et touche à des zones sensibles du système.
• Il contacte parfois des serveurs au lancement, pour des raisons qu’aucune notice n’explique.

Le résultat est une alerte, que l’utilisateur interprète souvent comme une erreur : « l’antivirus se trompe, c’est un crack, c’est normal ». Ce raisonnement n’est pas absurde. Un crack inoffensif peut déclencher une détection par sa seule technique. Mais l’inverse est tout aussi vrai, et c’est l’angle mort : une détection n’est pas moins justifiée parce que le fichier est présenté comme un crack. Entre un crack sans charge cachée et un crack piégé, rien ne se voit à l’œil nu, et personne ne peut garantir lequel on télécharge.

« Désactivez votre antivirus » : le piège central

La plupart des notices accompagnant ces fichiers commencent par la même demande : désactiver la protection en temps réel, parfois le pare-feu, parfois l’antivirus intégré à Windows. Cette demande est un signal d’alerte, parce qu’elle remplit une fonction précise.

Ce que dit la notice	Ce qu’elle permet réellement	Ce qu’un installateur honnête ferait
« Coupez l’antivirus, il détecte à tort »	Le fichier s’exécute sans être analysé	Fonctionner avec l’antivirus actif
« Ajoutez le dossier aux exclusions »	Le code piégé reste dans un lieu que personne ne regarde	Ne rien demander de tel
« Lancez en administrateur »	Droits étendus sur toute la machine	Demander l’élévation uniquement à l’installation
« Téléchargez l’archive avec mot de passe »	Le contenu échappe aux analyses automatiques	Fournir un fichier lisible, signé par l’éditeur

Le mot de passe d’archive mérite un commentaire. Il n’a aucun rôle de sécurité pour l’utilisateur : il empêche l’antivirus d’ouvrir l’archive et d’examiner ce qu’elle contient. Une archive protégée dont on vous communique le mot de passe sur la page de téléchargement reproduit exactement ce que ferait un attaquant qui veut éviter les analyses.

Il faut se souvenir que la raison pour laquelle on désactive la protection n’est jamais celle qu’on croit. Le tutoriel affirme que le logiciel de sécurité se trompe ; l’attaquant, lui, veut que personne ne regarde. Les deux explications aboutissent à la même consigne, et seule la seconde est cohérente avec les risques mesurés par les laboratoires.

Ce que prennent les logiciels voleurs de données

Beaucoup de faux installateurs et de cracks piégés distribuent des « infostealers », des programmes dont la seule fonction est de collecter ce que l’ordinateur retient pour vous. Cybermalveillance.gouv.fr consacre à ces logiciels une fiche d’information sur les virus voleurs de données. Le CERT Santé a de son côté publié en septembre 2025 une veille sur des campagnes d’infostealers distribuées par des logiciels crackés.

Ce que ces programmes recherchent tient à peu de choses, qui valent beaucoup :

• les mots de passe enregistrés dans les navigateurs ;
• les cookies de session, qui permettent de se faire passer pour vous sur un site sans connaître le mot de passe ;
• les données de remplissage automatique, dont les coordonnées et parfois des numéros de carte ;
• les portefeuilles de cryptomonnaies et les clés qui leur sont associées ;
• certains jetons de connexion à des services de jeu ou de messagerie.

L’exfiltration est rapide : le programme collecte, envoie, et peut se supprimer, ce qui rend l’infection difficile à repérer après coup. La conséquence ne se voit pas le jour même, mais quelques jours plus tard, quand un compte est utilisé depuis un autre pays. Une session volée contourne même un mot de passe solide, ce qui explique pourquoi les conseils de réaction commencent par fermer les sessions ouvertes.

Les faux sites de téléchargement

Le fichier piégé n’arrive pas toujours depuis un forum louche. Des pages de téléchargement se placent en tête des résultats d’un moteur de recherche, parfois par une publicité, et imitent le site d’un éditeur connu. Elles proposent plusieurs boutons « Télécharger », dont un seul semble correct, et le fichier obtenu ressemble à l’installateur légitime.

Quelques repères permettent de s’y retrouver sans outil particulier.

• Le nom de domaine doit être celui de l’éditeur, écrit en entier. Une faute d’orthographe ou un suffixe inattendu suffit à disqualifier la page.
• Le résultat sponsorisé n’est pas plus fiable que le résultat naturel : il faut vérifier l’adresse dans les deux cas.
• Les boutons multiples et les fenêtres qui se rouvrent au clic indiquent une page de redirection.
• L’installateur de téléchargement (un petit fichier qui en télécharge un autre) est une pratique de logiciels piégés. Les éditeurs connus proposent le plus souvent le programme directement, signé de leur nom.

Le plus sûr reste de partir du site officiel de l’éditeur, que l’on tape soi-même, plutôt que de passer par une page de résultats. Ce réflexe prend dix secondes et neutralise une grande partie de ces faux sites.

Ce que l’antivirus fait, et ce qu’il ne fait pas

Face à ces fichiers, un antivirus actif remplit deux rôles. Il arrête le téléchargement ou l’exécution quand le fichier, son adresse ou son comportement sont déjà répertoriés. Il alerte quand le comportement est suspect sans être connu. Les tests de laboratoire mesurent cette capacité : au test Real-World d’AV-Comparatives de février-mai 2026, qui joue 400 scénarios d’infection réels, les produits en tête bloquent 399 (Kaspersky), 398 (Bitdefender) ou 397 scénarios (Avast, AVG, Norton), et Microsoft Defender 396. Pour comprendre comment se lisent ces nombres et leurs dates, le guide pour interpréter un test de laboratoire donne les repères.

Ces chiffres supposent une protection active. Quand l’utilisateur la désactive, la mesure ne s’applique plus. Un produit qui bloque 399 menaces sur 400 ne protège de rien quand il est coupé, et aucun résultat de laboratoire ne couvre ce cas. C’est la raison pour laquelle l’argument « mon antivirus est excellent » ne tient pas face à un installateur que l’on lance en l’ayant éteint.

Une conséquence moins connue : la protection peut échouer même quand elle est allumée. Un fichier inédit, ou une variante récente d’un programme voleur, peut ne pas être détecté le jour où on le lance. L’antivirus réduit le risque, il ne le supprime pas. La même limite vaut pour les rançongiciels, qu’une page voisine examine sous l’angle des capacités réelles d’un antivirus.

Quand l’alerte est une vraie fausse alerte

Il serait malhonnête de prétendre que toutes les alertes sont justifiées. Les laboratoires mesurent aussi les erreurs : au test Real-World de février-mai 2026, Malwarebytes déclenche 39 fausses alertes, Panda 27 et G Data 14, ce qui abaisse leur niveau de récompense. Un logiciel d’éditeur connu, téléchargé depuis son site officiel, peut donc être signalé à tort, surtout s’il est rare ou récent.

La différence tient à la provenance et à la vérification, pas au ressenti.

1. Provenance. Le fichier vient-il du site officiel, tapé à la main ? Une alerte sur un fichier de source officielle est plus probablement une erreur qu’une alerte sur un fichier de source douteuse.
2. Avis croisé. Une analyse en ligne qui interroge plusieurs moteurs donne une idée : un moteur isolé qui crie est plus probablement une erreur, plusieurs moteurs d’accord ne le sont pas.
3. Signature. Un programme d’éditeur sérieux est signé numériquement, et Windows affiche cette signature dans les propriétés du fichier.
4. Contact de l’éditeur. Beaucoup d’éditeurs de logiciels peu répandus fournissent une adresse pour signaler la fausse alerte, ce qui la fait corriger.

Un crack ne remplit aucune de ces conditions : pas d’éditeur, pas de site officiel, pas de signature, pas d’adresse de contact. La méthode de vérification d’une alerte sur un fichier sain est détaillée dans l’article sur les faux positifs des antivirus. Pour la suite d’un logiciel piraté qui a déclenché un chiffrement de fichiers, la marche à suivre est expliquée dans ce guide pour réagir à un ransomware à la maison sans payer la rançon.

Cas particulier : jeux, modifications et « optimiseurs »

Le même mécanisme touche les jeux et leurs communautés. Une modification de jeu, un outil de triche, un « optimiseur » de performances ou un lanceur alternatif se téléchargent depuis des serveurs communautaires, des liens de vidéos ou des messageries, sans éditeur identifiable. Les consignes y sont souvent les mêmes : exécuter en administrateur, ajouter une exclusion dans l’antivirus, fermer les protections « le temps du lancement ».

Ces outils sont attractifs parce que le public est jeune, pressé et habitué à des fichiers non officiels. Ils sont aussi une porte d’entrée classique pour les programmes voleurs de sessions : un compte de jeu ou de messagerie vaut de l’argent, et il se revend. La règle ne change pas : un outil qui exige de couper la protection est, par construction, un outil dont le fonctionnement ne supporte pas d’être regardé. Si la modification existe vraiment, sa page officielle et son code source, quand elle est libre, suffisent à le vérifier.

Les alternatives légitimes, souvent oubliées

Ce qui pousse à télécharger un crack, c’est un coût perçu comme disproportionné pour un besoin ponctuel. Plusieurs voies existent, qu’on oublie d’explorer avant de chercher ailleurs :

• une version gratuite ou limitée du même éditeur, souvent suffisante pour un usage occasionnel ;
• un équivalent libre : la plupart des usages courants (bureautique, retouche d’image, montage, lecture de médias) disposent de logiciels libres maintenus et gratuits ;
• une licence éducative ou associative, proposée par plusieurs éditeurs aux étudiants, enseignants et associations ;
• un essai limité dans le temps, utilisé pour le projet précis qui le justifie ;
• un abonnement court, pris pour un mois puis résilié.

Le même raisonnement vaut pour les antivirus. Un antivirus gratuit sérieux existe, et le guide des antivirus gratuits compare les offres sans qu’il soit nécessaire de chercher une clé trouvée ailleurs : une fausse licence d’antivirus est une absurdité de plus, puisque c’est précisément le logiciel que l’attaquant veut voir désactivé.

Si le fichier a déjà été lancé

Certains lecteurs arrivent ici après coup. La réaction compte, et elle suit un ordre.

1. Déconnecter l’ordinateur d’Internet, pour interrompre une exfiltration en cours.
2. Réactiver l’antivirus et le mettre à jour, puis lancer une analyse complète.
3. Changer les mots de passe depuis un autre appareil, en commençant par la messagerie, qui permet de réinitialiser le reste, puis la banque et les réseaux sociaux.
4. Fermer les sessions ouvertes sur chaque service, pour invalider les cookies volés, et activer la double authentification partout où elle existe.
5. Surveiller les comptes pendant plusieurs semaines : connexions inhabituelles, opérations bancaires, messages envoyés à votre nom.
6. Envisager la réinstallation du système, seule garantie contre un programme qui aurait installé un composant discret. Elle est radicale ; elle devient raisonnable dès que le doute est sérieux.

Aucune de ces étapes ne dépend d’un produit particulier. Elles reposent sur une idée simple : ce qui a été exécuté avec les droits de l’utilisateur a pu lire tout ce que l’utilisateur peut lire.

Ce que l’histoire de ces fichiers enseigne

Les cracks existent depuis aussi longtemps que les licences, et leurs distributeurs ont toujours su ce que cherche leur public : un résultat immédiat, sans payer, sans discuter. C’est pour cela que le téléchargement est devenu un moyen de diffusion de logiciels malveillants. L’utilisateur y ouvre lui-même la porte, et l’attaquant n’a pas besoin d’inventer une faille.

La conclusion pratique tient en une phrase : une alerte de l’antivirus au moment d’installer un fichier venu d’une source non officielle n’est pas un obstacle à contourner, c’est la réponse à la question qu’on aurait dû poser avant de le télécharger.