Inspecteur de fichiers binaires

Déposez un fichier programme — un PE Windows (.exe, .dll), un binaire ELF Linux ou un Mach-O macOS/iOS — et lisez ce qu’il déclare sur lui-même avant de sortir des outils plus lourds : ses en-têtes, ses sections et segments, les bibliothèques et fonctions qu’il importe, ses exportations et symboles, et chaque chaîne imprimable qu’il contient, accompagnés des hachages MD5 et SHA et de l’entropie par section. Le fichier ne quitte jamais votre appareil et n’est jamais exécuté : il est ouvert et lu dans cette page, et non téléversé, car un binaire dont vous vous méfiez est précisément le fichier que vous ne devriez pas confier au serveur d’un inconnu.

Dernière mise à jour:

Ou déposez le fichier n’importe où dans ce cadre. Tout ce qui suit est lu depuis le fichier lui-même, sur cet appareil. Analyse statique uniquement : le fichier est analysé, jamais exécuté. Limite : 128 MB.

Ce qu’est cette page — et ce qu’elle n’est pas

Il s’agit d’une inspection statique de premier regard : le fichier est analysé, jamais exécuté, et rien ici n’est un verdict de logiciel malveillant. Les constats sont des observations, pas des condamnations — un fichier non signé est un fait (beaucoup d’outils légitimes ne sont pas signés), une entropie supérieure à 7.2 est un fait (les packers l’élèvent, mais les ressources compressées ordinaires aussi), et la présence d’un bloc de signature Authenticode ne dit rien sur la validité de la signature, seulement qu’il y en a une. Pour un second avis sur un fichier dont vous vous méfiez, comparez son SHA-256 à un verdict public grâce à la recherche de l’onglet Aperçu — c’est le hachage qui est recherché, le fichier lui-même n’est jamais envoyé. Les paquets Android disposent de leur propre lecteur dédié, l’APK Analyzer ; ce qu’un programme fait sur le réseau relève du PCAP Analyzer ; et l’article compagnon, les agents IA peuvent-ils rétro-ingénierer votre application ?, explique jusqu’où va désormais l’analyse automatisée.

Ce qu’un fichier programme déclare avant de s’exécuter

Tout fichier programme natif s’ouvre par une déclaration d’intention écrite pour le chargeur du système d’exploitation. Un PE Windows nomme sa machine cible, son horodatage de compilation, l’adresse à laquelle il souhaite être chargé et le sous-système qu’il attend ; sa table de sections indique où vivent le code, les données et les ressources, et sa table d’importations énumère — par nom — chaque bibliothèque et fonction qu’il compte appeler, ce qui est ce qu’un binaire fermé a de plus proche d’une table des matières. Un binaire ELF déclare sa classe, son boutisme et sa machine, l’interpréteur qui le lancera, les segments que le noyau doit projeter et les bibliothèques partagées dont il a besoin, dans l’ordre. Un Mach-O déclare son CPU et son type de fichier, ses segments et sections, les dylibs qu’il lie, un UUID qui identifie la compilation, et si son code est signé ou chiffré par FairPlay. Rien de tout cela n’exige d’exécuter le fichier, de faire confiance au fichier ou de téléverser le fichier — tout se trouve dans des en-têtes que le chargeur lui-même lira.

Cette page lit exactement cette couche, et délibérément uniquement la première couche. Elle ne décompilera rien, ne dépaquètera rien et ne vous dira pas ce que fait le code — c’est le travail de Ghidra, d’IDA et des chaînes d’outils pilotées par agents que parcourt l’article compagnon. Un premier regard sert au triage : est-ce l’architecture attendue, est-il signé, est-ce un assembly .NET déguisé en natif, une section contient-elle des données suspectement denses, la liste d’importations nomme-t-elle des bibliothèques que le programme n’a aucune raison d’appeler, et le fichier qu’on vous a envoyé est-il le même que celui que tout le monde a reçu — question à laquelle les hachages répondent sans détour (et le générateur de hachages le vérifie pour du texte ou des fichiers plus petits). Cinq minutes d’en-têtes, lus localement, répondent à la plupart de ces questions avant même l’installation d’un outil lourd.

Questions fréquentes

Mon fichier est-il téléversé quelque part ?

Non. Le fichier est ouvert et analysé dans cette page, sur votre appareil, et rien n’est téléversé, transmis ni stocké — analyser un fichier n’effectue aucune requête réseau. Le seul lien externe de la page est la recherche VirusTotal, et elle recherche le hachage SHA-256 du fichier sous forme de texte ; le fichier lui-même n’est jamais envoyé. La page fonctionne aussi hors ligne une fois chargée.

Cela peut-il me dire si un fichier est un logiciel malveillant ?

Non, et tout lecteur d’en-têtes qui le promet survend son produit. Cette page rapporte ce que le fichier déclare — format, architecture, sections, importations, exportations, chaînes, présence d’une signature —, ce qui suffit à repérer les cas négligents : la « facture » qui est en réalité un exécutable 32 bits, la compilation dont une section est impossiblement dense, le programme de mise à jour non signé dont le hachage ne correspond à rien de ce que l’éditeur a publié. Juger ce que le code fait réellement exige une décompilation, une exécution en bac à sable ou le verdict d’un scanner réputé. Considérez un résultat d’aspect propre ici comme « rien dans les en-têtes ne semble anormal », jamais comme un certificat de sécurité.

Qu’est-ce que l’entropie, et pourquoi le seuil de 7.2 ?

L’entropie de Shannon mesure à quel point une suite d’octets semble aléatoire, de 0 (tous le même octet) à 8 (indiscernable du hasard). Le code compilé ordinaire et le texte se situent bien en dessous de 7 ; les données compressées approchent 8, et les données chiffrées sont effectivement à 8. Les packers compressent ou chiffrent le vrai code d’un programme, donc une section au-dessus d’environ 7.2 est un signal de triage standard signifiant « quelque chose ici a été compressé » — mais les installateurs, les ressources compressées, les médias intégrés et les environnements d’exécution modernes produisent aussi des sections à haute entropie dans des fichiers parfaitement légitimes. C’est une raison de regarder de plus près, pas une conclusion.

Pourquoi mon fichier affiche-t-il si peu de structure ?

Parce que la page rapporte ce que le fichier déclare réellement, et certains fichiers déclarent très peu de choses. Un ELF dépouillé (stripped) peut n’avoir aucune table d’en-têtes de section (seulement des segments) ; un fichier artisanal ou tronqué peut se terminer avant les structures que son en-tête promet — auquel cas les notes le disent exactement, et tout ce qui est affiché a tout de même été lu dans les octets présents. Et certains formats sont tout simplement hors de portée des analyseurs profonds : ils sont identifiés par leur nom (ZIP, PDF, images, etc.) et obtiennent les faits génériques — taille, hachages, entropie, chaînes — sans détails inventés.