Comment savoir si quelquun a accès à distance à votre ordinateur Windows ?

Certains des types de logiciels malveillants les plus dangereux sont conçus pour accéder à distance au PC d'une victime, comme les chevaux de Troie d'accès à distance (RAT) et les rootkits au niveau du noyau . Ils fonctionnent silencieusement, ce qui rend la détection difficile. Si vous craignez que quelqu'un ait un accès à distance non autorisé à votre PC Windows, découvrez comment confirmer et supprimer la menace.

Signes d'avertissement lorsque quelqu'un accède à votre PC

Bien que la plupart des tentatives d’accès à distance soient silencieuses, elles comportent néanmoins certains signes avant-coureurs. Bien que ces signes puissent être révélateurs de la popularité de Windows, pris ensemble, ils peuvent constituer une preuve solide de l'activité d'accès à distance.

• Comportement inhabituel de la souris/du clavier : si le curseur se déplace de manière erratique ou si du texte est saisi sans votre intervention, cela peut être le travail d'un outil distant. Même lorsqu'ils ne sont pas contrôlés activement, ces outils peuvent toujours causer des problèmes tels que le saut du curseur/la téléportation. Ce signal peut également servir de confirmation si la souris et le clavier commencent à effectuer des tâches telles que l'accès à la barre d'adresse du navigateur et la saisie d'une adresse de site Web.
• Programmes qui s'ouvrent et se ferment tout seuls : Les pirates peuvent également envoyer des commandes pour ouvrir des applications spécifiques (comme un logiciel antivirus ou une invite de commande ) pour obtenir plus de contrôle sur le système ou désactiver les fonctionnalités de sécurité. Si vous voyez des programmes s'ouvrir et se fermer d'eux-mêmes, c'est un signe d'avertissement.
• Création de nouveaux comptes d'utilisateurs inconnus : certains acteurs malveillants peuvent essayer de créer des comptes secondaires pour obtenir un accès persistant même après détection. Ils désactiveront probablement la fonction de changement d’utilisateur pour masquer le compte de l’écran de verrouillage. Accédez à Paramètres Windows -> Comptes et recherchez le compte secondaire sous Famille et Autres utilisateurs.

• Ralentissement soudain des performances : les opérations de contrôle à distance sont également gourmandes en ressources, vous pouvez donc remarquer une baisse soudaine des performances. Ceci est particulièrement utile à prendre en compte si des baisses de performances occasionnelles se produisent en raison d'opérations de contrôle à distance.
• Le Bureau à distance Windows est activé automatiquement : Le Bureau à distance Windows est assez vulnérable, c'est pourquoi les pirates utilisent souvent cette fonctionnalité pour créer des connexions à distance. Cette fonctionnalité est désactivée par défaut, donc si elle est activée sans votre intervention, elle pourrait être effectuée par un pirate informatique. Dans les paramètres Windows, accédez à Système -> Bureau à distance et voyez si cette fonctionnalité est activée.

Comment confirmer que votre PC est accessible à distance

Si vous remarquez les signes ci-dessus, prenez les mesures nécessaires pour confirmer vos soupçons. Vous pouvez surveiller l’activité des composants/applications impliqués dans le processus d’accès à distance pour confirmer que quelqu’un accède à votre PC Windows. Voici quelques-unes des méthodes les plus fiables :

Vérifier les journaux de l'Observateur d'événements Windows

L'Observateur d'événements Windows est un excellent outil intégré pour surveiller l'activité des utilisateurs et aider à détecter les tentatives d'accès à distance en surveillant l'activité RDP et les journaux de connexion.

Recherchez « Observateur d’événements » dans la recherche Windows et ouvrez l’Observateur d’événements .

Accédez à Journaux Windows -> Sécurité et cliquez sur l’ onglet ID d’événement pour trier les événements par ID. Recherchez tous les événements avec l'ID 4624 et vérifiez leurs détails pour vous assurer qu'aucun d'entre eux n'a le type de connexion 10 . L'ID d'événement 4624 concerne les tentatives de connexion et le type de connexion 10 correspond aux connexions à distance utilisant des services d'accès à distance que les pirates pourraient utiliser.

Vous pouvez également rechercher l’ID d’événement 4778 car il indique une reconnexion de session à distance. La page de détails de chaque événement vous indiquera des informations d'identification importantes, telles que le nom du compte ou l'adresse IP du réseau.

Surveiller le trafic réseau

L'accès à distance dépend de la connectivité réseau, la surveillance du trafic réseau est donc un moyen fiable de le détecter. Nous vous recommandons d'utiliser la version gratuite de GlassWire à cette fin, car elle surveille et protège automatiquement contre les connexions malveillantes.

Dans l'application GlassWire, vous verrez toutes les connexions d'application sous la section GlassWire Protect . L'application évaluera automatiquement les connexions et signalera celles qui ne sont pas fiables. Dans la plupart des cas, l'application sera capable de détecter les connexions distantes malveillantes et de vous avertir.

En plus des algorithmes d'application, vous pouvez également rechercher des indices tels qu'une utilisation élevée des données d'une application inconnue. Les connexions à distance utilisent des données persistantes, elles sont donc faciles à détecter.

Afficher les tâches planifiées

De nombreuses tentatives d’accès à distance sont gérées à l’aide de l’outil Planificateur de tâches de Windows. Cela les aide à survivre aux redémarrages du PC et à effectuer des tâches sans avoir à fonctionner en continu. Si votre PC est infecté par un virus, vous verrez des tâches provenant d’applications inconnues dans le Planificateur de tâches.

Recherchez « Planificateur de tâches » dans la recherche Windows et ouvrez l’application Planificateur de tâches. Dans le panneau de gauche, ouvrez Planificateur de tâches (local) -> Bibliothèque du planificateur de tâches . Recherchez tout dossier étrange ou suspect autre que Microsoft. Si vous trouvez des dossiers, faites un clic droit sur la tâche et sélectionnez Propriétés.

Dans Propriétés , parcourez les onglets Déclencheurs et Actions pour savoir ce que fait la tâche et quand elle s'exécute, ce qui devrait suffire à comprendre si elle est mauvaise. Par exemple, si la tâche exécute une application ou un script inconnu lors de la connexion ou lorsque le système est inactif, la tâche peut être malveillante.

Si vous ne trouvez pas la tâche suspecte, vous pouvez consulter le site Web de Microsoft. Il est possible que des logiciels malveillants sophistiqués se cachent dans les dossiers système. Recherchez les tâches qui semblent suspectes, comme celles portant des noms génériques comme « systemMonitor » ou des noms mal orthographiés. Heureusement, vous n'aurez pas à rechercher chaque tâche, car la plupart seront rédigées par Microsoft Corporation, ce qui peut être ignoré en toute sécurité.