L'admissibilité de cette page est à vérifier (juillet 2026).

Motif : Maintenance technique. Page recréée sans DRP malgré un débat d'admissibilité en 2013 : cf. Discussion:ThreatFire/Admissibilité. Par ailleurs, recréation par un compte utilisateur provisoire qui n'a fait que cette seule et unique diff, et absence d'interwikis (étrange, pour un logiciel américain). Mais peut-être la page a fait l'objet d'un sourçage sérieux, avec insertion de sources neutres et de qualité par le CT ? En particulier, « Wayback Machine » est-elle une source de qualité ?

Vous êtes invité à compléter l'article pour expliciter son admissibilité, en y apportant des sources secondaires de qualité, ainsi qu'à en discuter. Si rien n'est fait, cet article sera proposé au débat d'admissibilité un an au plus tard après la mise en place de ce bandeau.

Trouver des sources sur « ThreatFire » :

• Archive Wikiwix
• Bing
• Cairn
• DuckDuckGo
• E. Universalis
• Gallica
• Google
• G. Books
• G. News
• G. Scholar
• Persée
• Qwant
• (zh) Baidu
• (ru) Yandex

Conseils utiles à la personne qui appose le bandeau

1.	Préciser le motif de la pose du bandeau.	Précisez le motif de la pose du bandeau en utilisant la syntaxe suivante : {{admissibilité à vérifier|date=août 2026|motif=remplacez ce texte par le motif}}
2.	Informer les utilisateurs concernés.	Pensez à avertir le créateur de l'article, par exemple, en insérant le code ci-dessous sur sa page de discussion : {{subst:avertissement admissibilité à vérifier|ThreatFire}}

ThreatFire est un logiciel de sécurité informatique pour Microsoft Windows fondé sur la détection comportementale des programmes malveillants plutôt que sur la reconnaissance de signatures virales^[1]. Conçu pour fonctionner en complément d'un antivirus traditionnel, il surveille en temps réel l'activité des processus du système afin de repérer et de bloquer des menaces inconnues (« attaques du jour zéro ») sans attendre la mise à jour d'une base de signatures^[1],[2].

Le produit trouve son origine dans Cyberhawk, un logiciel développé par la société américaine Novatix Corporation, dont la technologie et l'équipe sont rachetées en 2007 par l'éditeur australien PC Tools, qui le renomme ThreatFire^[3],[4]. PC Tools est à son tour racheté par Symantec en 2008. Distribué gratuitement (une version payante, ThreatFire Pro, existe également) et intégré à la suite PC Tools Internet Security sous le nom de « Behavior Guard », ThreatFire est remarqué au tournant des années 2010 pour l'efficacité de son moteur comportemental^[5],[6], avant d'être discrètement abandonné par Symantec en mai 2013 avec le reste du catalogue de sécurité issu de PC Tools^[7].

Bien que le produit n'ait plus été maintenu depuis plus d'une décennie, son pilote noyau, TfSysMon.sys, reste doté d'une signature numérique valide et a par la suite été identifié, au milieu des années 2020, comme l'un des nombreux « pilotes vulnérables » (technique dite Bring Your Own Vulnerable Driver, BYOVD) exploités par des groupes de rançongiciels pour désactiver les logiciels de détection et de réponse aux incidents (EDR) avant de déployer leur charge utile^[8],[9],[10].

La technologie à l'origine de ThreatFire est développée par Novatix Corporation, une société basée à Boulder, dans le Colorado, dirigée par Mike Kronenberg^[3]. Novatix commercialise un logiciel nommé Cyberhawk, doté d'une technologie de protection comportementale en temps réel baptisée ActiveDefense (alors présentée comme « en cours de dépôt de brevet »), destinée à détecter virus, vers, chevaux de Troie, rootkits et attaques par dépassement de tampon sans recourir à des signatures^[11],[3]. Le produit se situe dans la vague des logiciels de prévention comportementale (HIPS) du milieu des années 2000 : l'organisme de test AV-Comparatives inclut ainsi « CyberHawk 1.2 » dans une étude comparative de ces technologies publiée en octobre 2006, le décrivant comme simple à installer et à utiliser, ne nécessitant aucune configuration, et protégeant contre la plupart des menaces testées (un seul échantillon non détecté)^[12].

Le 29 mai 2007, l'éditeur australien de logiciels de sécurité PC Tools, dirigé par son fondateur et directeur général Simon Clausen, annonce le rachat de la technologie Cyberhawk et de l'équipe de Novatix, ainsi que la création d'un centre de recherche avancée à Boulder^[3],[13]. L'équipe de développement reste sur place, ce site devenant le nouveau centre de recherche de PC Tools sur la détection comportementale^[3]. À l'issue du rachat, Mike Kronenberg devient directeur technique des activités nord-américaines de PC Tools^[3].

À l'été 2007, PC Tools rebaptise le produit ThreatFire, lui donnant une nouvelle interface et l'intégrant à sa gamme ; la version 3.0.3.0, publiée fin août 2007, marque officiellement l'abandon du nom Cyberhawk^[14],[15]. Le produit est alors décliné en deux versions : ThreatFire Free Edition, gratuite pour un usage personnel, et ThreatFire Pro, une version payante ajoutant un moteur d'analyse antivirus classique à la demande (issu de PC Tools AntiVirus) ainsi que des règles de personnalisation plus poussées et un support téléphonique prioritaire^[14],[16].

Le lancement public du produit est largement relayé par la presse spécialisée en octobre 2007^[17] ; Simon Clausen y présente ThreatFire comme l'un des rares outils capables de contrer le ver Storm sans signature dédiée, et affirme que des tests internes montraient que la technologie ActiveDefense pouvait doubler le niveau de protection offert par un antivirus traditionnel utilisé seul^[17]. Ces arguments d'efficacité sont repris sur le site officiel, qui annonce « jusqu'à 243 % de protection en plus » lorsque ThreatFire est associé à un antivirus classique^[18].

En parallèle, PC Tools intègre également ThreatExpert, un système automatisé d'analyse de programmes malveillants (« Automated Threat Analysis System ») créé par le chercheur en sécurité Sergei Shevchenko et racheté par PC Tools en 2006^[19],[20]. ThreatFire s'appuie sur ThreatExpert pour fournir à l'utilisateur des informations détaillées sur chaque menace détectée, un lien s'ouvrant automatiquement vers la fiche correspondante du site ThreatExpert^[2].

Le 18 août 2008, Symantec Corporation annonce un accord pour racheter PC Tools, rachat finalisé le 6 octobre 2008 pour environ 262 millions de dollars américains. PC Tools continue dans un premier temps à fonctionner de façon largement autonome au sein de Symantec, et ThreatFire demeure disponible gratuitement, séparément et au sein de la suite PC Tools Internet Security, où le moteur comportemental est proposé sous l'appellation « Behavior Guard », l'un des modules du système de protection en temps réel « IntelliGuard » de la suite, aux côtés de modules tels que Browser Guard, Network Guard, File Guard ou Email Guard^[5].

Après le rachat, le rythme des mises à jour de ThreatFire se ralentit sensiblement. Plusieurs utilisateurs et commentateurs relèvent, à partir de 2011, des correctifs de plus en plus espacés et le fait que la dernière version en date n'est parfois disponible que via le forum d'utilisateurs de PC Tools plutôt que sur la page de téléchargement officielle^[21]. La toute dernière version connue du produit, la 4.7.0.53, est mise en ligne le 14 janvier 2013^[22].

Le 18 mai 2013, Symantec met fin, sans grande annonce officielle, à l'ensemble du catalogue de sécurité issu de PC Tools : PC Tools Internet Security, Spyware Doctor, Spyware Doctor with AntiVirus et ThreatFire cessent d'être commercialisés et disparaissent progressivement des radars de la presse spécialisée, qui ne relève l'arrêt que quelques jours plus tard^[7]. Le site officiel threatfire.com finit par cesser de fonctionner dans les mois qui suivent. Le service ThreatExpert, qui n'était de toute façon plus activement maintenu depuis la fin des années 2000, reste lui aussi accessible quelque temps avant de disparaître à son tour^[20].

Le cœur technique de ThreatFire est la technologie ActiveDefense, héritée de Cyberhawk. Plutôt que de comparer le contenu des fichiers à une base de signatures, elle place des points d'interception (hooks) sur un ensemble d'appels système (API en mode utilisateur ou services en mode noyau) qui ne sont pas eux-mêmes liés au désempaquetage d'un exécutable, mais qui apparaissent typiquement au tout début de son exécution effective, par exemple CreateMutex, RegOpenKey, WSAStartup, CreateService ou WinExec^[23]. En interceptant ces appels, le moteur détermine le moment optimal, après que le code a été intégralement désempaqueté en mémoire mais avant que sa charge malveillante ne s'exécute réellement, pour suspendre temporairement le processus concerné et analyser son contenu en mémoire à l'aide de signatures génériques et d'une analyse heuristique pondérée^[23]. Selon le degré de dangerosité détecté, le moteur peut alors laisser reprendre l'exécution, mettre en quarantaine ou terminer le processus, suspendre certains de ses threads, supprimer le fichier associé ou nettoyer les entrées de la base de registre qui s'y rattachent^[23].

Cette approche, décrite dans un brevet déposé en 2008 par Sergei Shevchenko pour le compte de PC Tools Technology Pty Ltd (et cédé à Symantec Corporation la même année), est notamment présentée comme efficace contre des menaces difficiles à intercepter par les moyens classiques, comme le rootkit Rustock ou la famille de bots Agobot/Gaobot, dont les nombreuses variantes recompilées avec de nouveaux empaqueteurs échappent facilement à la détection par signature une fois le fichier chiffré, mais deviennent identifiables une fois exécutées en mémoire^[23]. Le service ThreatExpert reposait sur une logique de détection en mémoire comparable, son « Memory Scanner » cherchant à repérer, une fois décryptés en mémoire vive, des codes polymorphes appartenant à des familles telles que Storm ou Rustock^[24].

Une fois installé, ThreatFire fonctionne principalement en arrière-plan, sans nécessiter de configuration de la part de l'utilisateur^[1]. L'interface s'articule autour de plusieurs sections : le lancement d'analyses ponctuelles (« Start Scan »), un module de gestion des menaces (historique des éléments autorisés ou bloqués, gestion de la quarantaine, journal de protection), des outils avancés réservés aux utilisateurs expérimentés (règles personnalisées, moniteur d'activité système) et un panneau de réglages permettant notamment d'ajuster le niveau de sensibilité de la détection sur une échelle de un à cinq (le niveau trois étant recommandé par défaut) et de planifier des analyses anti-rootkit régulières^[25],[16].

Lorsqu'une activité suspecte est détectée, une alerte s'affiche, dont la couleur indique le degré de gravité : le gris signale un logiciel potentiellement indésirable, le jaune une activité potentiellement malveillante nécessitant une décision de l'utilisateur, et le rouge une application malveillante automatiquement désactivée et mise en quarantaine^[25]. Le logiciel s'appuie par ailleurs sur une communauté d'utilisateurs volontaires, la « ThreatFire Secure Community » : les alertes suspectes déclenchées sur les postes participants sont remontées de façon confidentielle à PC Tools (nature de l'alerte, historique des évènements, décision prise et copie du fichier en cause) pour alimenter la recherche de nouvelles menaces, une carte mondiale affichant les détections récentes^[1].

Sur le plan technique, le produit s'appuie sur un pilote en mode noyau, TfSysMon.sys (ThreatFire System Monitor), généralement installé dans un dossier tel que C:\Program Files\PC Tools Security\TFEngine\, ainsi que sur plusieurs processus en mode utilisateur (dont un service Windows nommé « ThreatFire »)^[10]. Selon une analyse technique publiée sur le forum KernelMode.info, le pilote place des points d'interception sur des routines de la base de registre et sur NtTerminateProcess (pour empêcher sa propre fermeture), tandis qu'une bibliothèque TfWah.dll est injectée dans chaque processus démarrant pour y effectuer un hooking étendu d'API en mode utilisateur^[26]. ThreatFire s'annonce en outre auprès du Centre de sécurité Windows comme un logiciel antivirus à part entière, via l'interface WMI standard de Windows (fournisseur ROOT\SecurityCenter2, classe AntiVirusProduct)^[27].

ThreatFire est proposé sous deux formes : une édition gratuite pour l'usage personnel, et une édition payante (« Pro », puis licence commerciale pour l'usage professionnel) qui ajoute un moteur d'analyse antivirus classique à la demande, des règles de personnalisation plus fines et un support téléphonique prioritaire, les deux éditions reposant sur le même moteur ActiveDefense^[14],[16]. Les documents officiels de 2011 ne mettent toutefois plus en avant qu'une version gratuite « pour tous les particuliers »^[1]. Le produit est également intégré, sous le nom « Behavior Guard », à la suite payante PC Tools Internet Security, où il complète des modules de protection plus classiques (pare-feu, antispam, filtrage web)^[5]. L'interface est proposée en plusieurs langues, dont le français, l'allemand, l'espagnol, l'italien, le polonais, le portugais du Brésil et le chinois simplifié, en partie grâce à un programme de traduction communautaire^[18].

Dès sa sortie, ThreatFire est salué par la presse spécialisée pour sa capacité à intercepter des menaces inédites que des antivirus classiques laissaient passer, tout en consommant peu de ressources système et en cohabitant sans conflit avec un antivirus traditionnel déjà installé^[2],[16]. Le magazine PC Magazine, par la voix de son expert Neil Rubenking, lui décerne à plusieurs reprises son label Editors' Choice pour les logiciels de protection sans signature, la version 3.5 obtenant en 2008 un score de détection maximal (10 sur 10) sur son échantillon de test^[28]. Un test réalisé par PC World en 2012 relève que la version gratuite du produit bloque totalement 92,9 % et partiellement 7,1 % des échantillons de logiciels malveillants soumis lors d'un test en conditions réelles, la meilleure performance parmi les antivirus gratuits alors comparés par le magazine, tout en rappelant que l'outil, dépourvu de moteur de nettoyage classique dans sa version gratuite, ne peut pas se substituer à un antivirus complet pour désinfecter une machine déjà compromise^[6].

Lors d'un test de la suite PC Tools Internet Security 2010, le laboratoire de Virus Bulletin souligne que le module « Behavior Guard » issu de ThreatFire constitue l'un des atouts les plus marquants de la suite, ayant intercepté, lors d'essais menés en conditions réelles à partir de liens malveillants, la quasi-totalité des menaces qui étaient parvenues à échapper à l'analyseur de signatures classique et à l'analyse heuristique statique^[5]. En Allemagne, l'Office fédéral de la sécurité des technologies de l'information (BSI) recommande, dans une fiche pratique de sécurisation des ordinateurs personnels sous Windows publiée le 1^er février 2012, l'usage de ThreatFire comme moyen gratuit d'ajouter une « détection avancée basée sur le comportement » à un antivirus déjà installé, aux côtés de solutions gratuites telles que Microsoft Security Essentials, Avira ou Avast pour l'antivirus proprement dit, et de Secunia PSI pour le suivi des mises à jour^[29].

Le produit fait cependant l'objet de critiques croissantes après son rachat par Symantec, notamment un rythme de mise à jour jugé trop lent, des conflits ponctuels avec certaines versions de Windows Vista, ainsi qu'un programme d'installation proposant, par défaut, l'ajout de la barre d'outils Google^[21]. Début 2011, le chercheur connu sous le pseudonyme EP_X0FF publie sur le forum spécialisé KernelMode.info une analyse technique très critique du produit, qu'il qualifie de « FakeHIPS » et de « ThreatTrash » : il y décrit ses points d'interception comme lents, buggés et contournables depuis le mode utilisateur, et diffuse un outil (« Fireball ») capable de neutraliser ThreatFire, testé contre la version 4.7 sous Windows XP et Vista^[26].

Bien que ThreatFire ait cessé d'être commercialisé et mis à jour depuis 2013, son pilote en mode noyau TfSysMon.sys continue de circuler avec une signature numérique toujours valide et non révoquée plus d'une décennie plus tard^[10]. Comme de nombreux autres pilotes anciens dotés de privilèges système étendus, il a par la suite été détourné de sa fonction d'origine par des attaquants dans le cadre de la technique dite Bring Your Own Vulnerable Driver (BYOVD), consistant à installer volontairement un pilote légitime mais vulnérable afin d'obtenir, via lui, des privilèges noyau permettant de désactiver un logiciel de sécurité^[9].

En novembre 2024, l'équipe de réponse à incident de Cisco Talos documente l'utilisation d'un pilote vulnérable identifié comme TfSysMon.sys par un affilié du rançongiciel Interlock afin de désactiver la protection EDR d'un réseau compromis, dans le cadre d'une intrusion ayant duré environ dix-sept jours avant le déclenchement du chiffrement^[8].

Au milieu des années 2020, une étude de l'entreprise slovaque ESET consacrée aux outils dits « tueurs d'EDR » utilisés par les groupes de rançongiciels identifie TfSysMon.sys comme l'un des pilotes vulnérables réemployés par plusieurs outils indépendants les uns des autres : TfSysMon-Killer, dérivé d'un code source publié par un chercheur connu sous le pseudonyme BlackSnufkin et repéré lors d'une attaque du rançongiciel Monti en février 2025 ; Susanoo, employé par le groupe de rançongiciel DeadLock aux côtés d'autres utilitaires anti-rootkit détournés tels que GMER et PC Hunter ; et EDRKillShifter, développé en interne par l'ex-plateforme de rançongiciel en tant que service RansomHub^[9].

En octobre 2025, un chercheur en sécurité connu sous le pseudonyme D7EAD publie sur GitHub la divulgation de la vulnérabilité CVE-2025-61156, décrivant un défaut de contrôle d'accès dans le pilote TfSysMon.sys (présent jusque dans la toute dernière version publiée du produit, la 4.7.0.53) qui permet à un utilisateur non privilégié de mettre fin, avec des privilèges noyau, à des processus protégés, notamment ceux des logiciels antivirus et de détection et réponse aux incidents, ouvrant la voie à un contournement local des protections ou à un déni de service^[10]. Selon cette divulgation, le pilote ne figurait, au moment de sa publication, sur aucune liste de pilotes bloqués par Microsoft, et son certificat de signature demeurait valide, lui permettant de continuer à se charger sur des systèmes Windows modernes en 64 bits en dépit de l'abandon du produit depuis plus de dix ans^[10].

Le nom de ThreatFire apparaît par ailleurs dans des travaux de recherche antérieurs sur la détection des logiciels de sécurité installés sur un système : lors de la conférence Recon 2015, les chercheurs Joan Calvet, Marion Marschalek et Paul Rascagnères présentent un exposé intitulé « Totally Spies », consacré à une famille d'outils d'espionnage informatique (parmi lesquels les programmes surnommés Babar, Bunny, Casper et Dino) ; ils y détaillent une méthode d'identification des antivirus installés sur la machine ciblée, fondée sur une requête WMI standard interrogeant l'identifiant unique (instanceGuid) de chaque produit reconnu par le Centre de sécurité Windows, ThreatFire figurant parmi la vingtaine de produits ainsi répertoriés par ces outils^[27].

Le chercheur Sergei Shevchenko, auteur du brevet décrivant le moteur ActiveDefense et créateur de ThreatExpert, a par la suite poursuivi sa carrière chez Symantec, puis au sein du laboratoire de recherche de BAE Systems Applied Intelligence à Sydney, avant de rejoindre Sophos puis de cofonder la société Prevasio, spécialisée dans la sécurité des conteneurs applicatifs dans le cloud, rachetée par AlgoSec en décembre 2022^[30],[31].

• Détection heuristique
• HIPS (Host-based Intrusion Prevention System)
• Bring Your Own Vulnerable Driver
• Symantec
• Rançongiciel
• Antivirus

• (en) « ThreatFire, site officiel (archive du 6 janvier 2012) », sur Wayback Machine
• (en) « Foire aux questions ThreatFire (archive du 24 décembre 2011) », sur Wayback Machine
• (en) « Reviews & Testimonials ThreatFire (archive du 25 décembre 2011) », sur Wayback Machine
• (en) « ThreatFire Research Blog (archive du 28 mars 2013) », sur Wayback Machine
• (en) « Fireball for ThreatFire, analyse d'EP_X0FF (archive du forum KernelMode.info) », sur Wayback Machine

• Portail de la sécurité des systèmes d'information
• Portail des logiciels
• Portail de Microsoft