CPL (élément du Panneau de configuration) : fichier .cpl

Un fichier CPL est structurellement une DLL Windows ordinaire (même format Portable Executable, même signature d’en-tête “MZ”) à laquelle s’ajoute l’exportation d’une fonction spécifique nommée CPlApplet. C’est cette fonction, et non l’extension du fichier, que le Panneau de configuration recherche pour afficher un ou plusieurs “applets” de configuration (Souris, Son, Options d’ergonomie, entre autres éléments intégrés à Windows).

Au double-clic, Windows ne charge pas le CPL directement : il lance control.exe, qui appelle la fonction Control_RunDLL de shell32.dll en lui passant le chemin du fichier CPL en argument, laquelle charge alors la DLL et invoque CPlApplet.

Cette chaîne d’exécution indirecte constitue une technique documentée : un fichier CPL peut être exécuté directement via rundll32.exe Shell32.dll,Control_RunDLL <chemin>, sans passer par control.exe, une méthode répertoriée par MITRE ATT&CK sous l’identifiant T1218.002, exploitée pour contourner des outils de sécurité qui surveillent le lancement de control.exe sans couvrir cet appel indirect.

De nombreux utilisateurs ne reconnaissant pas l’extension .cpl comme potentiellement exécutable (contrairement au .exe, dont le risque est plus intuitif), des campagnes de logiciels malveillants ont exploité cette méconnaissance en distribuant des DLL malveillantes déguisées en éléments de Panneau de configuration légitimes.

Si de nombreux panneaux historiques (souris, clavier, programmes) restent portés par des CPL même sous Windows 11, Microsoft migre progressivement les réglages courants vers l’application Paramètres, réduisant peu à peu le nombre de panneaux effectivement consultés par un utilisateur au quotidien sans pour autant retirer le mécanisme CPL lui-même.