SCR (économiseur d'écran Windows) — fichier .scr

Le SCR est le format des économiseurs d’écran Windows : un EXE ordinaire, renommé avec l’extension .scr pour que l’Explorateur Windows le propose dans le panneau de personnalisation de l’écran de veille plutôt que de l’exécuter comme un programme classique.

Sa signature binaire est strictement identique à celle d’un EXE. Le fichier débute par le même en-tête DOS “MZ” suivi de l’en-tête PE “PE\0\0” : rien dans le contenu du fichier ne permet de distinguer un économiseur d’écran d’un exécutable quelconque, seule l’extension déclarée oriente le comportement de Windows. Un outil d’identification par signature binaire signale d’ailleurs systématiquement un SCR comme un exécutable PE, pas comme un format distinct.

Windows exécute un SCR reçu en pièce jointe ou téléchargé exactement comme il exécuterait un EXE, code arbitraire compris : l’extension .scr est utilisée de longue date en ingénierie sociale précisément parce qu’elle paraît plus anodine qu’un .exe à un destinataire peu familier avec les extensions Windows, alors que le risque est rigoureusement identique.

Un économiseur d’écran légitime accepte en principe les paramètres de ligne de commande /s (lancement), /c (configuration) et /p (aperçu) que Windows lui transmet automatiquement selon le contexte — un comportement que les versions malveillantes n’implémentent généralement pas, sans que cela ne serve d’indicateur fiable avant exécution.

Ce déguisement en SCR a été largement employé dans les campagnes de vers informatiques diffusés par e-mail à la fin des années 1990 et au début des années 2000, une période où les pièces jointes exécutables circulaient encore avec très peu de filtrage automatique côté messagerie.