Il devient actif lorsque cet hôte est ouvert, chargé ou exécuté. Cette dépendance à un hôte distingue le virus du ver, qui est autonome.
Après activation, un virus peut rechercher et modifier d'autres hôtes appropriés. Les objets infectés peuvent circuler via le stockage partagé, les pièces jointes, les téléchargements, la synchronisation ou les supports amovibles, mais une autre action transfère ou exécute normalement l'hôte. La réplication est distincte de toute charge utile (payload), comme le vol, la corruption ou l'installation d'un autre malware.
Points clés
Relation à l'hôteL'objet infecté transporte ou active le code viral. Les hôtes et les méthodes d'infection varient selon les plateformes ; « virus de fichier » ne décrit donc pas tous les virus.
DélimitationIdentifier l'exécution initiale, les hôtes potentiellement infectés, les chemins de diffusion, les privilèges et la charge utile. Ne contrôler que le premier fichier détecté peut laisser passer des objets modifiés ailleurs.
RécupérationMettre en quarantaine ou remplacer les objets affectés selon des procédures testées, fermer le chemin d'entrée et valider les systèmes et dépôts partagés. Préserver des preuves représentatives lorsque c'est nécessaire.
Limite importanteUne signature peut identifier un motif connu sans trouver tous les objets ou actions infectés. Un fichier suspect n'est un virus que si la réplication dépendante d'un hôte fait partie de son comportement.