Ransomware :
les premières heures

Un disque défaillant sur le plan matériel donne généralement des signes mécaniques : cliquetis, claquements, disque non détecté par le BIOS ou système qui se bloque au démarrage. Le ransomware, au contraire, laisse le disque fonctionner normalement : l'ordinateur démarre, l'explorateur de fichiers voit les dossiers, mais chaque fichier porte une extension ajoutée et ne s'ouvre plus avec le programme correspondant. Une note de rançon apparaît presque toujours, sous forme de fichier texte ou de nouveau fond d'écran demandant de prendre contact ou de payer. Autre indice fort : plusieurs ordinateurs du même réseau présentent le même problème en même temps. Une panne de disque est un événement isolé sur une machine, alors que le ransomware se propage et touche plusieurs postes presque simultanément. Au moindre doute sur l'un ou l'autre, agissez comme s'il s'agissait d'un ransomware : déconnectez cet ordinateur et tout autre qui partage le réseau ou des lecteurs avec lui avant d'examiner quoi que ce soit de plus près.

Cela dépend du stade où vous en êtes. Si l'ordinateur est encore en train de chiffrer, le déconnecter du réseau et le laisser allumé coupe le contact avec l'attaquant sans perdre le contenu de la mémoire, qui contient parfois des restes de la clé de chiffrement exploitables par un outil d'analyse forensique. L'éteindre brutalement efface cette mémoire et peut laisser le chiffrement à moitié terminé, ce qui complique toute tentative de récupération ultérieure. Si le processus est terminé et que la machine est inactive, l'éteindre ne change rien et évite que quelqu'un l'utilise par erreur. La priorité est toujours le réseau, pas le bouton d'arrêt : débranchez d'abord le câble et coupez le Wi-Fi, décidez ensuite si vous l'éteignez, et faites-le seulement quand il ne partage plus ni lecteurs ni connexion avec le reste du bureau. Si quelqu'un doit analyser la machine, demandez-lui avant de toucher à l'interrupteur.

Rien ne garantit que la clé arrivera, qu'elle fonctionnera sur tous les fichiers, ni que l'attaquant ne réclamera pas davantage une fois qu'il saura que vous payez. En plus du chiffrement, beaucoup d'attaques actuelles copient les données avant de les chiffrer : payer pour la clé n'efface pas cette copie et n'empêche pas qu'elle soit utilisée ou publiée ensuite. Ce sont deux problèmes distincts avec la même facture. La vraie décision n'est pas « payer ou ne pas payer », mais quelles alternatives existent : s'il y a une sauvegarde hors de la machine et qu'elle peut être restaurée, la rançon n'a plus de sens économique. S'il n'y en a pas, la question devient de savoir si le disque peut être récupéré par une autre voie, ce qui dépend du type de dommage et de la quantité de données écrites par-dessus après le chiffrement. Payer ne répond à aucune de ces deux questions ; cela en ajoute seulement une troisième.

Le formatage est irréversible et efface précisément les informations qui permettraient de comprendre ce qui s'est passé et, dans certains cas, de récupérer quelque chose. Ce qui détermine si formater est raisonnable, c'est l'existence d'une sauvegarde vérifiée, conservée hors de la machine, qui n'était pas accessible au ransomware au moment de l'attaque. Si cette sauvegarde existe et qu'un fichier test se restaure sans problème, l'ordinateur infecté peut être formaté en toute tranquillité, car les données sont déjà à l'abri ailleurs. S'il n'y a pas de sauvegarde, ou si vous n'êtes pas sûr qu'elle soit bonne, on ne touche pas au disque : on le traite comme un cas de récupération, pas comme quelque chose à nettoyer. Dans ce cas, formater ferme la seule voie qui restait. Vérifier que la sauvegarde fonctionne est la première chose à faire, avant de décider quoi que ce soit au sujet du disque.

Déconnectez-le du réseau et ne l'allumez pas « pour voir si quelque chose a été épargné » : s'il était monté comme lecteur sur l'ordinateur infecté, le ransomware l'a probablement déjà parcouru comme les autres disques. Ce qui change le résultat, c'est sa configuration avant l'attaque. Un NAS avec des sauvegardes versionnées ou des instantanés que le ransomware ne pouvait pas effacer, faute de droits pour les modifier, conserve des versions antérieures à l'infection, même si les fichiers actuels sont chiffrés. Un NAS utilisé comme simple dossier partagé de plus, sans versions ni protection en écriture, est chiffré comme un disque local et n'apporte rien de plus à récupérer. Avant d'y toucher, il faut examiner la configuration des instantanés ou des versions du NAS lui-même, sans encore rien restaurer. C'est le même principe qui distingue une vraie sauvegarde d'un simple dossier dupliqué : tout dépend de la possibilité pour le ransomware d'écrire dessus.

Oui, surtout si les ordinateurs touchés contiennent des données de clients, de fournisseurs ou de salariés. Porter plainte ne débloque rien et n'accélère pas la récupération, mais laisse une trace officielle de l'incident, qui peut être nécessaire plus tard face aux assureurs, aux clients ou aux organismes qui demanderont ce qui s'est passé. Si l'attaque concerne des données personnelles, il faut évaluer s'il y a lieu d'informer l'autorité de protection des données et, dans certains cas, les personnes concernées ; cette évaluation dépend du type de données et du risque réel pour ces personnes, elle n'est pas automatique dans tous les cas. Conservez des captures de la note de rançon, l'heure approximative de la découverte et la liste des ordinateurs reliés entre eux : ce sont les informations que demanderont la police comme tout conseil juridique ou en protection des données consulté ensuite. Plus elles sont réunies tôt, plus elles sont fiables.

Seulement si cet ordinateur était réellement isolé de la machine infectée avant le début du chiffrement : aucun lecteur réseau partagé, pas le même NAS monté, et de préférence un segment de réseau différent. S'il partage le même routeur ou le même switch sans aucune segmentation, « continuer à travailler » dessus revient à l'exposer au même parcours que le ransomware a déjà suivi sur le réseau, simplement quelques heures plus tard. Avant de l'utiliser, vérifiez quels lecteurs il a connectés et déconnectez-les, même s'ils semblent sains. La question qui décide s'il est sûr n'est pas de savoir si ce PC présente des symptômes, mais s'il avait une quelconque voie d'accès à la même ressource que l'ordinateur infecté. Si la réponse est que vous n'en savez rien avec certitude, traitez-le comme s'il était exposé : déconnectez-le du réseau jusqu'à ce que quelqu'un examine toute l'infrastructure, et pas seulement la machine qui a présenté les symptômes.

Il n'existe pas de réponse unique, et cela dépend de deux choses qui se décident avant l'incident. La première : l'existence d'une sauvegarde vérifiée et accessible. Si elle existe, le travail consiste à reconstruire l'ordinateur de zéro et à restaurer dessus, un processus qui dépend du volume de données et du nombre de machines touchées. La seconde : l'absence de sauvegarde, auquel cas le disque entre dans un processus de récupération dont la portée dépend du type de chiffrement, de ce qui a été écrit par-dessus après l'attaque et de l'existence d'outils capables de neutraliser cette famille précise de ransomware, ce qui n'est pas toujours le cas. Ce qui fait vraiment la différence entre une reprise rapide et un long arrêt se décide avant que quoi que ce soit n'arrive : disposer d'une sauvegarde hors de la machine que le ransomware ne pouvait pas atteindre. C'est la seule chose qui dépend de vous aujourd'hui.