SYS (pilote Windows) — fichier .sys

Le SYS désigne un fichier de pilote Windows, le code qui permet au système d’exploitation de communiquer avec un composant matériel. Sa structure a radicalement changé au fil du temps, avec des conséquences directes sur son identification.

Les pilotes modernes (Windows 2000 et ultérieur) sont structurellement des exécutables PE, exactement comme un EXE ou une DLL, et partagent donc la même signature “MZ” en tête de fichier — rien dans cette signature ne les distingue d’un exécutable ou d’une bibliothèque ordinaire ; seul un indicateur interne à l’en-tête PE confirme sa nature de pilote. Les très anciens pilotes DOS en mode réel, en revanche, n’avaient aucun en-tête standardisé comparable, à l’image du format COM.

S’exécutant avec les privilèges les plus élevés du système (le mode noyau), un pilote compromis représente l’un des vecteurs de compromission les plus sévères qui soient : contrairement à une application ordinaire, il opère avec un accès quasi total au matériel et à la mémoire système, ce qui explique l’exigence croissante de Microsoft en matière de signature numérique des pilotes.

Depuis Windows 10 (mise à jour de 2016 imposant la signature via le portail Windows Hardware Dev Center), un pilote SYS non signé par Microsoft ne peut plus être chargé sur un système 64 bits en configuration standard, une restriction qui a considérablement réduit la surface d’attaque historiquement associée à ce format.

Cette exigence de signature avait déjà un précédent avec le programme de certification WHQL (Windows Hardware Quality Labs), qui testait et validait volontairement la stabilité des pilotes bien avant que la signature ne devienne une condition technique obligatoire au chargement même du fichier SYS par le système.