autorun.inf d'un support amovible n'est plus exécuté (les CD et DVD, eux, restent concernés). Le danger est passé dans ce que vous cliquez : raccourcis déguisés en dossiers, doubles extensions, macros. Et afficher les extensions ne démasque pas les raccourcis piégés, car Windows masque le suffixe .lnk même quand l'option est cochée. Une clé ramassée par terre, elle, ne se branche pas.Un client vous tend une clé, ou vous en ramassez une sur le parking de la société. Quel est le vrai danger d'une clé USB inconnue aujourd'hui ? Le branchement seul ne suffit presque plus : c'est votre double-clic qui déclenche tout. Voici ce qui reste vrai, et comment vérifier une clé sans y laisser votre PC.
« Autorun » : le branchement fatal appartient à Windows XP
Le scénario est resté dans les mémoires : un autorun.inf à la racine désignait un exécutable, que Windows lançait sans rien demander. Microsoft a fermé cette porte à partir de Windows 7, et rien n'a bougé sous Windows 10 ni 11. La restriction vise les supports amovibles, pas les lecteurs optiques : un CD relève encore de l'ancien fonctionnement. Et une stratégie de groupe (Modèles d'administration > Composants Windows > Stratégies de lecture automatique, réglage « Comportement par défaut de l'exécution automatique ») peut la lever : sur un poste d'entreprise mal paramétré, l'ancien risque revient.
Ce qui subsiste est l'exécution automatique (AutoPlay) : une notification propose d'ouvrir le dossier. Une proposition, pas une exécution.
Une clé qui passe d'un poste à l'autre transporte partout ce qu'elle a ramassé au premier. Couvrir tous les ordinateurs et téléphones du foyer ou du bureau avec une seule licence supprime le maillon faible.
Le vrai piège : le raccourci déguisé en dossier
Un fichier .lnk peut porter l'icône d'un dossier Windows et s'appeler « Photos vacances ». En double-cliquant, vous n'ouvrez pas un dossier : vous exécutez la commande cachée derrière le raccourci, très souvent un appel à powershell.exe.
Le détail qui change tout : afficher les extensions ne protège pas contre ça. Windows masque le suffixe .lnk même quand l'option « Extensions de noms de fichiers » est cochée, à cause d'une valeur NeverShowExt inscrite dans la base de registre sous HKEY_CLASSES_ROOT\lnkfile. Les repères fiables sont ailleurs : la colonne Type de l'Explorateur, qui affiche « Raccourci », et la taille, de l'ordre du kilo-octet.
Longtemps, ouvrir les Propriétés pour « vérifier la cible » ne servait à rien non plus : le champ s'arrêtait à 260 caractères, quand un .lnk peut en transporter des dizaines de milliers — il suffisait d'en bourrer le début d'espaces pour pousser la commande hors du champ. C'est la faiblesse ZDI-CAN-25373, devenue CVE-2025-9491, exploitée dans des campagnes d'espionnage depuis 2017. Microsoft l'a corrigée sans bruit en novembre 2025 : la fenêtre affiche désormais la commande entière, arguments compris. Sur un poste non mis à jour, elle tronque toujours.
Dans les deux cas, PowerShell montre la cible sans exécuter le raccourci :
$s = (New-Object -ComObject WScript.Shell).CreateShortcut("E:\Photos.lnk"); $s.TargetPath; $s.Arguments
Si la cible est powershell.exe, cmd.exe, wscript.exe ou mshta.exe : on supprime, on n'ouvre pas.
Double extension, macros et faux clavier
La double extension. Facture_2026.pdf.exe s'affiche « Facture_2026.pdf », icône de PDF comprise. Idem pour .scr, .js, .vbs, .bat. Là, afficher les extensions fonctionne.
Les macros. Office bloque par défaut celles des fichiers marqués comme venant d'Internet. Ce marquage (Mark of the Web) est stocké dans un flux alternatif propre au système de fichiers NTFS : copier le document sur une clé formatée en FAT32 ou en exFAT l'efface, faute d'endroit où le ranger. Le bandeau rouge a donc peu de chances d'apparaître. Un .docm qui réclame « Activer le contenu » est une alerte, pas une formalité.
Le matériel. Un boîtier au format d'une clé peut se déclarer comme un clavier et « taper » lui-même les commandes dès le branchement. Ces outils, regroupés sous le nom BadUSB, sont en vente libre. Analyser le support ne sert à rien : aucun fichier à examiner. Une protection comportementale peut réagir à ce qui est téléchargé ensuite, mais certains modèles ralentissent la frappe pour imiter un humain : n'en faites pas votre filet de sécurité.
La clé du parking : le danger d'une clé USB inconnue commence là
En 2016, des chercheurs des universités de l'Illinois et du Michigan, avec Google, ont laissé traîner 297 clés USB sur un campus. 98 % ont été ramassées, et des fichiers ont été ouverts sur 45 % d'entre elles. Beaucoup cherchaient le propriétaire : c'est exactement ce ressort qui est exploité. Une clé étiquetée « Salaires 2026 » coûte quelques euros et n'a besoin de fonctionner qu'une fois : un vecteur d'entrée à traiter au même niveau que les autres erreurs de cybersécurité qui coûtent cher aux PME.
Notre position est tranchée : non, il ne faut pas la brancher « sur un vieux PC pour voir ». Ce poste de test est rarement isolé — même Wi-Fi, parfois même compte Microsoft. Ce n'est pas un test, c'est une contamination différée.
Analyser une clé USB inconnue avant de l'ouvrir
Pour une clé de provenance connue, procédez dans cet ordre.
- Affichez les extensions. Windows 11 : Explorateur, menu Affichage > Afficher > Extensions de noms de fichiers. Windows 10 : onglet Affichage du ruban, case du même nom.
- Passez en vue Détails et lisez la colonne Type avant de toucher à quoi que ce soit.
- Analysez le lecteur. Clic droit sur sa lettre dans « Ce PC », puis Analyser avec Microsoft Defender. Sous Windows 11, l'entrée est sous Afficher plus d'options ; Maj + F10 ouvre directement ce menu complet.
- « Aucune menace trouvée » n'est pas un feu vert : un fichier fabriqué la veille peut ne correspondre à aucune signature connue.
| Menace | Réalité en 2026 | Ce qui protège |
|---|---|---|
| AutoRun (autorun.inf) | Neutralisé sur support amovible ; lecteurs optiques non visés | Windows à jour, stratégie inchangée |
| Raccourci .lnk déguisé | Très utilisé ; extension masquée même extensions affichées | Colonne « Type », taille, cible lue en PowerShell |
| Document à macros | Le blocage d'Office saute si la clé est en FAT32 ou exFAT | Refuser « Activer le contenu » |
| Faux clavier (BadUSB) | Rare, hors de portée d'une analyse du support | Ne pas brancher ; comportemental en second rideau |
Protection contre les rançongiciels, analyse à la demande sur plusieurs appareils, assistance en cas d'incident : c'est précisément là que les suites payantes prennent le relais.
Voir les 14 offresQuand ça ne marche pas : clé « vide », faux positif, clic déjà donné
La clé paraît vide, ou ne contient que des raccourcis. Signature d'un ver USB : il bascule vos vrais dossiers en caché + système et met des .lnk à leur place. Afficher les fichiers cachés ne suffit pas, il faut aussi décocher « Masquer les fichiers protégés du système d'exploitation (recommandé) » dans Options de l'Explorateur de fichiers > Affichage. Une fois la clé nettoyée, rendez la main aux fichiers depuis une invite de commandes en administrateur : attrib -h -r -s /s /d E:\*.* (E: = lettre du lecteur).
Votre antivirus bloque un fichier dont vous êtes certain. Ne désactivez pas la protection en temps réel, même brièvement. Posez une exclusion ciblée sur ce seul fichier : Sécurité Windows > Protection contre les virus et menaces > Gérer les paramètres > Exclusions > Ajouter ou supprimer des exclusions > Ajouter une exclusion > Fichier, puis retirez-la juste après. Exclure le lecteur entier reviendrait à ne plus rien analyser.
Vous avez déjà cliqué. Débranchez le réseau en premier : cela limite l'exfiltration et la propagation. Retirez la clé. Lancez une Analyse hors connexion de Microsoft Defender depuis Sécurité Windows > Protection contre les virus et menaces > Options d'analyse : elle redémarre le poste et s'exécute avant le chargement complet de Windows, où elle atteint des menaces qu'une analyse classique manque. Si des fichiers sont chiffrés, ne payez rien et déconnectez vos sauvegardes — la marche à suivre est dans notre guide pour supprimer un virus sur un PC Windows.
Ce qui protège vraiment d'une clé USB inconnue
Disons-le franchement : l'essentiel est gratuit. Afficher les extensions, lire la colonne Type, refuser « Activer le contenu », ne pas brancher ce qu'on a ramassé — ces réflexes écartent la grande majorité des scénarios. Deuxième geste gratuit et souvent ignoré : l'Accès contrôlé aux dossiers de Windows est désactivé par défaut. Il se trouve dans Sécurité Windows > Protection contre les virus et menaces > Protection contre les rançongiciels, et verrouille vos dossiers personnels, Documents et Images en tête. À activer avant d'acheter quoi que ce soit. Microsoft Defender fait un travail sérieux pour un usage personnel, comme nous l'écrivons dans notre comparatif antivirus gratuit ou payant.
Une suite payante se justifie ailleurs : couvrir plusieurs ordinateurs et téléphones avec une seule licence, ou protéger un parc où les supports circulent. C'est le terrain d'une licence McAfee Total Protection multi-appareils ou d'une autre solution de notre sélection d'antivirus. Gardez la hiérarchie en tête : un antivirus rattrape une partie de vos erreurs, il ne les empêche pas. La règle qui protège le mieux d'une clé USB inconnue reste celle qui ne coûte rien — celle qu'on ramasse par terre ne se branche pas.
Les conseils ci-dessus ne remplacent pas une protection à jour. C'est la mesure la plus simple et la moins coûteuse.
Voir McAfee Total Protection → Licence livrée par e-mail · support en français · paiement sécurisé