Guide · 28 juillet 2026 · 8 min de lecture

Fichiers malveillants sur Discord : token grabbers et fausses bêtas

Un fichier déposé dans un salon reste téléchargeable par tout le monde jusqu'à ce qu'un humain le signale. Ce guide explique ce qui circule réellement, pourquoi l'antivirus du membre intervient trop tard, et comment analyser chaque pièce jointe à la source.

Ce qui circule vraiment en pièce jointe

Quatre familles couvrent l'essentiel de ce qu'on voit passer sur les serveurs Discord :

• Token grabbers — volent le jeton de session Discord. De loin les plus répandus, parce qu'ils rapportent immédiatement : un compte volé sert à voler les suivants.
• Infostealers — ratissent plus large : mots de passe enregistrés dans le navigateur, cookies de session, portefeuilles de cryptomonnaie, fichiers de configuration de jeux.
• Accès distants (RAT) — installent une porte dérobée persistante. Ce sont eux qu'on retrouve derrière une machine qui « fait des choses toute seule » des mois plus tard.
• Ransomwares — plus rares sur Discord, mais présents, souvent maquillés en logiciel de triche ou en générateur de clés.

Les emballages, eux, sont toujours les mêmes : bêta privée d'un jeu très attendu, logiciel de triche, générateur de Nitro, « outil de vérification », mod pour un jeu populaire, ou simple capture d'écran renommée. Le point commun de tous ces prétextes est qu'ils justifient à l'avance pourquoi l'antivirus va râler : « c'est un faux positif, désactive-le ».

Toute instruction qui demande de désactiver l'antivirus est, en elle-même, la preuve qu'il ne faut pas ouvrir le fichier.

Le token grabber, expliqué simplement

Quand vous êtes connecté à Discord, l'application conserve sur votre machine un jeton d'authentification — une longue chaîne de caractères qui prouve votre identité à chaque requête. C'est ce jeton qui évite de retaper son mot de passe à chaque ouverture.

Un token grabber est un petit programme dont l'unique travail est de trouver ce jeton dans les fichiers locaux et de l'envoyer à l'attaquant, généralement via un webhook Discord (ce qui rend le trafic parfaitement banal).

Ce qui rend l'attaque redoutable : le jeton contourne le mot de passe et la double authentification. L'attaquant ne se connecte pas, il rejoue votre session. Changer son mot de passe ne suffit d'ailleurs pas : tant que les sessions actives ne sont pas révoquées, le jeton volé reste valide.

Ce que Discord filtre, et ce qu'il ne filtre pas

Discord bloque quelques extensions notoirement dangereuses au téléversement et retire les contenus signalés par les utilisateurs. C'est utile, mais c'est tout : aucune analyse antivirus n'est effectuée sur les pièces jointes publiées dans un serveur.

Concrètement, un exécutable déposé dans un salon public reste téléchargeable par tous les membres pendant tout le temps où personne ne le signale — c'est-à-dire, la nuit, plusieurs heures. Et un fichier retiré côté Discord reste souvent accessible via son lien direct sur le CDN.

Pourquoi l'antivirus du membre arrive trop tard

L'antivirus installé sur la machine du membre est la dernière ligne de défense, pas la première. Trois raisons de ne pas compter dessus :

• Il se déclenche après le téléchargement, parfois après l'exécution. Le fichier a déjà atteint la cible.
• Les grabbers sont souvent neufs : recompilés à chaque campagne, ils n'ont pas encore de signature connue.
• La victime le désactive elle-même, parce que le message d'accompagnement le lui a demandé et que l'alerte semblait confirmer que « c'est bien une triche ».

Le bon endroit pour bloquer est donc le serveur, avant que le fichier soit visible.

Analyser les fichiers à la source

C'est le rôle d'OriusGuard, le module d'analyse de fichiers d'OriusBot. Chaque pièce jointe passe par un entonnoir : les vérifications rapides d'abord, les coûteuses seulement si le doute persiste.

• Les archives sont ouvertes. Un ZIP est extrait et chaque fichier qu'il contient est analysé individuellement. C'est ce qui ferme la faille du « j'ai mis l'exécutable dans un ZIP ».
• Analyse statique des exécutables. Détection de packer, mesure d'entropie (un fichier chiffré ou compressé se repère à sa distribution d'octets), présence de données en surplus après la fin logique du binaire — trois signatures classiques d'un programme qui cherche à ne pas être lu.
• Vérification d'empreintes. Le condensat du fichier est comparé à une base de logiciels malveillants connus, alimentée par des sources publiques de renseignement sur les menaces.
• Empreinte partagée entre serveurs. Un fichier reconnu malveillant sur un serveur équipé est bloqué immédiatement sur tous les autres. Un attaquant qui diffuse la même charge sur dix serveurs n'en touche qu'un.
• Moteur antivirus signé en option. ClamAV peut être branché pour une passe supplémentaire.

Comme pour le reste des modules de sécurité d'OriusBot, l'analyse s'exécute sur l'infrastructure d'Orius : les fichiers de votre serveur ne sont envoyés à aucun service tiers.

Les liens suivent le même traitement : redirections suivies jusqu'à la destination réelle, confrontation à des bases de menaces publiques, et analyse du contenu de la page d'arrivée quand c'est nécessaire. La commande /scan permet en plus de faire vérifier un fichier à la demande, et /analyser-lien une adresse.

Les règles de salon à poser

L'outillage ne dispense pas de quelques décisions structurelles, gratuites et immédiates :

1. Un seul salon autorise les pièces jointes, si le serveur en a besoin. Partout ailleurs, retirer la permission « Joindre des fichiers » au rôle par défaut.
2. Interdire les exécutables explicitement dans le règlement, et le faire appliquer par le bot plutôt que par la bonne volonté.
3. Pas de pièces jointes pour les comptes récents. Un membre arrivé il y a dix minutes n'a aucune raison d'envoyer une archive.
4. Bloquer les messages privés entre membres du serveur : c'est là que se distribuent les fichiers que la modération ne voit jamais.
5. Journaliser les envois pour pouvoir remonter le fil après coup : qui a envoyé quoi, quand, et qui l'a téléchargé.

Après une infection

1. Supprimer le message et bannir l'émetteur, sans attendre la confirmation : le débat se fait après.
2. Prévenir publiquement, avec le nom exact du fichier, pour que ceux qui l'ont téléchargé se manifestent.
3. Faire changer les mots de passe des membres touchés, activer la double authentification, et surtout révoquer toutes les sessions Discord — sans quoi le jeton volé reste valide.
4. Analyse complète des machines concernées : un grabber s'accompagne fréquemment d'un accès distant persistant.
5. Vérifier les journaux du serveur : un compte compromis qui avait des permissions a peut-être déjà agi. Le guide anti-nuke couvre ce scénario.

Questions fréquentes

Discord analyse-t-il les fichiers envoyés ?

Discord bloque certains types de fichiers et retire les contenus signalés, mais n'exécute aucune analyse antivirus des pièces jointes publiées sur un serveur.

Qu'est-ce qu'un token grabber ?

Un programme qui cherche le jeton d'authentification Discord stocké sur l'ordinateur et l'envoie à l'attaquant. Ce jeton donne un accès complet au compte sans mot de passe et sans déclencher la double authentification.

Un fichier ZIP est-il dangereux ?

L'archive est inoffensive, mais elle sert à cacher son contenu : la plupart des filtres regardent l'extension du fichier envoyé et s'arrêtent là. Il faut ouvrir l'archive pour analyser ce qu'elle transporte.

Comment savoir si un fichier est un virus avant de l'ouvrir ?

Sans outil, on ne peut pas : l'icône, le nom et la taille se falsifient. Les indices fiables sont contextuels — un inconnu qui insiste, une bêta qui exige de désactiver l'antivirus, une archive protégée par mot de passe pour empêcher toute analyse.

Que faire après l'exécution d'un token grabber ?

Mot de passe changé, double authentification activée, déconnexion de toutes les sessions pour invalider le jeton, puis analyse complète de la machine.

À lire ensuite : les arnaques Discord et comment les bloquer, empêcher la destruction de son serveur, la checklist complète de sécurisation.