Associations de fichiers et extensions de fichiers sur Windows

Une page concernant les associations de fichiers et extensions de fichiers sur Windows qui ne sont pas forcément simple à comprendre.

Les extensions de fichiers est le suffixe qui se trouve à la fin de chaque fichier (par exemple .exe, .txt, .jpg), dans le monde de Windows, chaque extension est associée à un type de fichier et un programme qui ouvrira ce fichier.
L’extension de fichier a donc pour but d’identifier le format du fichier.

L’association de fichiers permet de définir les programmes qui exploiteront le format à partir de l’extension de fichiers, on peux alors définir un programme par défaut pour ouvrir un fichier selon son extension.
Par exemple lorsque vous double-cliquez sur un fichier .zip ce sera tel ou tel programme de gestion d’archives et compression qui s’ouvrira.

Voici un article concernant les associations de fichiers et extensions de fichiers dans Windows.

Qu’est-ce que les associations de fichiers ?

Lorsque vous double-cliquez sur un fichier image, document Word par exemple, un programme s’ouvre.
Windows est donc capable d’associer à un type de fichiers, un programme à utiliser par défaut.
Il s’agit de l’association de fichiers.

Ainsi pour un type de fichiers (liste d’extensions de fichiers), Windows stocke le programme qu’il doit utiliser pour ouvrir ce fichier.
Mais aussi la liste des programmes capables d’ouvrir un type de fichiers.

C’est pour cela que lorsque vous faites un clic droit sur un type de fichier puis Ouvrir avec.
Windows propose une liste de programme capable de gérer ce type de fichier.

Par exemple ci-dessous, le ouvrir avec sur une image propose d’utiliser les lecteurs d’images.

Lorsque vous tentez d’ouvrir un document images, photos, PDF, office ou autres sans aucune application par défaut, le message suivant s’affiche :

Ce fichier ne contient pas d’application associé pour effectuer cette action sur Windows 10.

Enfin l’utilisateur peut alors modifier le programme par défaut.

Associations de fichiers et extensions de fichiers

Gérer l’association de fichiers

Sur Windows XP, l’association de fichiers se gère à partir des options des dossiers : Poste de travail puis Menu Outils et Options des dossiers, enfin onglet type de fichiers.
Vous pouvez alors définir quelle application ouvrira quelle extension.

A partir de Windows 7 (cela fonctionne sur Windows XP aussi), vous pouvez faire un clic droit sur le fichier que vous souhaitez ouvrir et “Ouvrir Avec”.
Une série d’application correspondant au type de fichiers est proposé, mais vous pouvez aussi choisir un autre programme à partir du bouton “Choisir le programme”.

Pour plus d’informations, reportez-vous à la page : Les programmes par défaut ou encore ce lien :

Comment Windows stockent les Extensions/Association dans le registre Windows

Les données des extensions et association de fichiers sont stockés dans le registre Windows.
Plus particulièrement dans les sous-clefs : HKEY_LOCAL_MACHINE\Software\Classes
Windows créé une image dans : HKEY_CLASSES_ROOT
Enfin noter que vous pouvez avoir une configuration différent par utilisateur, les données seront stockées : HKEY_CURRENT_USER\Software\Classes

Se reporter à la page suivante : http://msdn.microsoft.com/en-us/library/ms724475%28v=vs.85%29.aspx

Les liens entre l’extension de fichiers et l’association de fichiers se font aux travers des CLSID et ProgID.
Prenons le cas des extensions .html relatives à la clef :  [HKEY_CLASSES_ROOT\.html]

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\.html]
@=”htmlfile”
“Content Type”=”text/html”
“PerceivedType”=”text”

[HKEY_CLASSES_ROOT\.html\PersistentHandler]
@=”{eec97550-47a9-11cf-b952-00aa0051fe20}”

On voit la clef par défaut contient le progID qui est : htmlfile

Il ne reste plus qu’à aller faire un tour dans les clefs shell\open\command et shell\opennew\command pour trouver le chemin du programme qui va ouvrir les fichiers .html : HKEY_CLASSES_ROOT\htmlfile\shell\opennew\command

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\htmlfile]
@="HTML Document"

[HKEY_CLASSES_ROOT\htmlfile\BrowseInPlace]
@=""

[HKEY_CLASSES_ROOT\htmlfile\CLSID]
@="{25336920-03F9-11cf-8FD0-00AA00686F13}"

[HKEY_CLASSES_ROOT\htmlfile\DefaultIcon]
@="C:\\Program Files\\Internet Explorer\\iexplore.exe,1"

[HKEY_CLASSES_ROOT\htmlfile\ScriptHostEncode]
@="{0C

F774D0-F077-11D1-B1BC-00C04F86C324}"

[HKEY_CLASSES_ROOT\htmlfile\shell]
@="opennew"

[HKEY_CLASSES_ROOT\htmlfile\shell\open]
@="Ouvrir dans l&a même fenêtre"

[HKEY_CLASSES_ROOT\htmlfile\shell\open\command]
@="\"C:\\Program Files\\Internet Explorer\\iexplore.exe\" -nohome"

[HKEY_CLASSES_ROOT\htmlfile\shell\open\ddeexec]
@="\"file://%1\",,-1,,,,,"
"NoActivateHandler"=""

[HKEY_CLASSES_ROOT\htmlfile\shell\open\ddeexec\Application]
@="IExplore"

[HKEY_CLASSES_ROOT\htmlfile\shell\open\ddeexec\Topic]
@="WWW_OpenURL"

[HKEY_CLASSES_ROOT\htmlfile\shell\opennew]
@="&Ouvrir"

[HKEY_CLASSES_ROOT\htmlfile\shell\opennew\command]
@="\"C:\\Program Files\\Internet Explorer\\iexplore.exe\" %1"

[HKEY_CLASSES_ROOT\htmlfile\shell\opennew\ddeexec]
@="\"%1\",,-1,0,,,,"
"NoActivateHandler"=""

[HKEY_CLASSES_ROOT\htmlfile\shell\opennew\ddeexec\Application]
@="IExplore"

[HKEY_CLASSES_ROOT\htmlfile\shell\opennew\ddeexec\IfExec]
@="*"

[HKEY_CLASSES_ROOT\htmlfile\shell\opennew\ddeexec\Topic]
@="WWW_OpenURLNewWindow"

[HKEY_CLASSES_ROOT\htmlfile\shell\print]

[HKEY_CLASSES_ROOT\htmlfile\shell\print\command]
@=hex(2):72,00,75,00,6e,00,64,00,6c,00,6c,00,33,00,32,00,2e,00,65,00,78,00,65,\
 00,20,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,\
 25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,73,\
 00,68,00,74,00,6d,00,6c,00,2e,00,64,00,6c,00,6c,00,2c,00,50,00,72,00,69,00,\
 6e,00,74,00,48,00,54,00,4d,00,4c,00,20,00,22,00,25,00,31,00,22,00,00,00

[HKEY_CLASSES_ROOT\htmlfile\shell\printto]

[HKEY_CLASSES_ROOT\htmlfile\shell\printto\command]
@=hex(2):72,00,75,00,6e,00,64,00,6c,00,6c,00,33,00,32,00,2e,00,65,00,78,00,65,\
 00,20,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,\
 25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,73,\
 00,68,00,74,00,6d,00,6c,00,2e,00,64,00,6c,00,6c,00,2c,00,50,00,72,00,69,00,\
 6e,00,74,00,48,00,54,00,4d,00,4c,00,20,00,22,00,25,00,31,00,22,00,20,00,22,\
 00,25,00,32,00,22,00,20,00,22,00,25,00,33,00,22,00,20,00,22,00,25,00,34,00,\
 22,00,00,00

Dès lors, toutes les extensions qui auront comme clef par défaut ce ProgID seront considérés comme format HTML et seront ouverts par Internet Explorer.
On peux alors changer le chemin du programme dans open\command en gardant en paramètre %1, %1 étant le fichier sur lequel vous double-cliquez.

• Si le ProgID est inconnu, le fichier sera ouvert avec le Bloc-Note
• Dans le cas où le fichier ne peux être ouvert, vous aurez alors la boite de dialogue “Ouvrir Avec” qui se lancera.

Les extensions de fichiers et la sécurité

Les extensions de fichiers ne sont pas affichées par défaut, ce qui peut poser des problèmes de sécurité.
En effet, cela permet aux auteurs de malwares de tromper les utilisateurs afin de leur faire exécuter des malwares en se faisant passer pour d’autres types de fichiers.
Pour plus d’informations, se reporter à la page suivant afin de comprendre quels sont les risques : Les extensions de fichiers et la sécurité

Les associations de fichiers et les malwares

Les associations de fichiers peuvent être modifiés par des infections (souvent les Rogues/Scarewares) afin de modifier le comportement de l’ouverture de fichiers ou bloquer l’ouverture de fichiers, par exemple pour ne pas arriver à lancer des fix ou antivirus.

FakeRean

La première famille de rogue FakeRean touche l’association de fichiers des exécutables .exe :

En temps normal, le ProgID exefile ressemble à ceci :

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\exefile\shell\open\command]
@="\"%1\" %*"

Le rogue le modifie de cette manière, ainsi tous les fichiers .exe qui seront exécutes lanceront le rogue qui executera le programme en paramètre.
Ainsi tous les programmes exécutes passe par le rogue, ceci permet aussi à l’infection d’être active en mode sans échec.

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\exefile\shell\open\command]
@="\"C:\\Documents and Settings\\Mak\\Local Settings\\Application Data\\gop.exe\" -a \"%1\" %*"
"IsolatedCommand"="\"%1\" %*"

Si le fichier du rogue est supprimé (par exemple par un antivirus), aucun programme ne s’exécutera et vous aurez systématiquement la fenêtre “Ouvrir Avec”

Personal Shield Pro

Personal Shield Pro est un peu plus subtil encore (source : https://forum.malekal.com/personal-shield-pro-t33460.html#p258783).
Ce dernier créé un ProgID PSP qui est une copie du exefile et une extension .pspro qui pointe sur ce ProgID.
Le malware modifie ensuite l’extension .exe  afin de faire pointer vers le ProgID PSP.

L’ouverture de commande du ProgID PSP donne ceci :

HKEY_CLASSES_ROOT\PSP\shell\open\command "(Default)"
 Type: REG_SZ
 Data: "C:\Documents and Settings\All Users\Application Data\uYj76l6Q5iQ.pspro" --startexe "%1"

Le résultat est le même que précédemment, le rogue lance les exécutables sur lequel on double-clic.
Supprimer le fichier .pspro malicieux, sans refaire pointer l’extension .exe vers le ProgID exefile ou corriger l’ouverture du ProgID PSP fera que les exécutables ne se lanceront plus.

Réparer l’association de fichiers

Après une attaque de virus informatiques ou une mauvaise manipulation, les associations de fichiers peuvent être endommagées.
Il existe des utilitaires gratuit pour réparer ces derniers.
La page suivante vous explique comment corriger et réparer les associations de fichiers : Réparer l’association de fichiers sur Windows