Récupération de données après ransomware pour les Amériques
Même lorsque les sauvegardes ont été chiffrées elles aussi, les données sont généralement toujours là, simplement inaccessibles. Notre laboratoire ransomware, exploité en partenariat avec Recoveo, les récupère sans payer les attaquants et sans dialoguer avec eux.
Attaque en cours ? Laissez les serveurs et le stockage touchés sous tension, débranchez-les du réseau, et ne lancez aucun logiciel de récupération, aucune réinstallation ni aucun formatage. Appelez ensuite le (213) 986-4855. Les étapes sont détaillées dans notre guide de reprise après ransomware.
Pourquoi des données chiffrées peuvent souvent être récupérées
Un ransomware est conçu pour agir vite. Pour terminer avant d’être repérées, la plupart des souches ne chiffrent qu’une partie de chaque fichier, ignorent les très gros fichiers ou laissent d’anciennes copies des données là où elles ne cherchent pas. Les disques virtuels, les fichiers de bases de données, les archives de sauvegarde et les volumes RAID sont si volumineux qu’une grande partie de leur contenu reste souvent intacte.
Un laboratoire n’a pas besoin de la clé des attaquants pour en tirer parti. Nous travaillons sous le système de fichiers, sur une copie exacte de chaque disque, et reconstruisons tout ce qui est lisible : machines virtuelles complètes, tables de bases de données, jeux de sauvegarde et dossiers de fichiers ordinaires.
Ce que nous récupérons après un ransomware
- Machines virtuelles : disques virtuels VMware ESXi, Microsoft Hyper-V et Proxmox. Voir récupération de machines virtuelles et de sauvegardes.
- Sauvegardes détruites ou chiffrées : dépôts Veeam et autres dépôts de sauvegarde, ainsi que les disques de sauvegarde connectés au moment de l’attaque
- Serveurs et stockage : serveurs, grappes RAID, volumes SAN et NAS Synology, QNAP et autres
- Bases de données : SQL Server, MySQL et les logiciels de comptabilité, de gestion de cabinet et métier qui s’appuient sur elles
- Postes de travail et ordinateurs portables : documents, boîtes mail, photos et fichiers de projets
Notre laboratoire ransomware de Los Angeles et Recoveo
Creative IT USA dispose d’un laboratoire de récupération de données après ransomware à Los Angeles en partenariat avec Recoveo, un laboratoire spécialisé dans la récupération de données après ransomware, actif depuis 2001. Recoveo apporte ses outils et son expérience des serveurs, machines virtuelles et sauvegardes chiffrés. Nous apportons l’intervention pour les entreprises partout aux États-Unis, au Canada et en Amérique centrale et du Sud.
Déroulement d’un dossier
Appel et tri
Nous vous demandons ce qui a été touché, quels systèmes comptent le plus et ce que dit la demande de rançon, et nous vous indiquons ce qu’il ne faut pas toucher.
Sécurisation et imagerie
Chaque disque est copié secteur par secteur via un bloqueur d’écriture. Tout le travail se fait sur les copies, jamais sur vos originaux.
Diagnostic
Nous évaluons la part chiffrée de chaque volume et vous donnons une vision réaliste de ce qui peut être récupéré, avec un devis ferme.
Récupération et vérification
Vous recevez la liste des fichiers et des machines récupérés pour vérification avant toute restitution.
Restitution et reconstruction
Les données vous sont rendues sur un support neuf, et notre équipe informatique peut reconstruire le réseau afin de fermer la porte utilisée par les attaquants.
Pas de rançon, pas de négociation
Nous ne contactons pas les attaquants, nous ne négocions pas avec eux et nous ne servons pas d’intermédiaire de paiement. Payer finance la prochaine attaque, ne garantit pas que l’outil de déchiffrement fonctionne et désigne l’entreprise comme une cible qui paie. La récupération à partir des données elles-mêmes ne dépend de rien de tout cela.
Preuves et assurance
Comme chaque disque est copié avant le début des travaux, les originaux restent dans l’état où ils ont été trouvés. Des copies peuvent être mises à la disposition de votre assureur, de votre expert en investigation numérique ou des forces de l’ordre, et nous pouvons documenter ce qui a été reçu, quand et dans quel état.
Combien ça coûte
Chaque dossier fait l’objet d’un devis après le diagnostic. Le prix dépend du volume de données, des systèmes concernés (un NAS isolé n’a rien à voir avec un cluster d’hôtes virtuels) et du délai souhaité. Vous validez le devis avant le début de la récupération.
Questions
Pouvez-vous récupérer des fichiers sans la clé de déchiffrement ?
Souvent, oui. La récupération s’appuie sur les parties des données que le ransomware n’a pas chiffrées et sur les anciennes copies encore présentes sur les disques. Le résultat dépend de la souche et du stockage, et le diagnostic vous l’indique avant tout engagement.
Nos sauvegardes ont aussi été chiffrées. Est-il trop tard ?
Pas forcément. Les fichiers de sauvegarde sont volumineux et souvent chiffrés seulement en partie, et les dépôts de sauvegarde peuvent fréquemment être reconstruits. Stoppez toute écriture sur le stockage de sauvegarde et appelez-nous.
Faut-il d’abord payer la rançon pour voir ?
Nous le déconseillons, tout comme le FBI. Parlez-en avec nous, votre assureur et votre avocat avant toute décision de paiement.
Quels pays couvrez-vous ?
Les États-Unis, le Canada et l’Amérique centrale et du Sud. Nous commençons à distance le jour même, et les disques, serveurs et NAS nous sont expédiés. Pour une intervention sur site, voir Los Angeles.
Nos données restent-elles confidentielles ?
Oui. Nous signons un accord de confidentialité sur demande, et les données récupérées vous sont restituées sur un support neuf.
Ouvrir un dossier ransomware
Appelez le (213) 986-4855 ou ouvrez un dossier en ligne. Gardez à portée de main la demande de rançon, la liste des systèmes touchés et, le cas échéant, le nom de votre assureur.