Comment se remettre d’une attaque par ransomware : 10 étapes
Un guide clair pour les PME, dans l’ordre qui compte. Les étapes 1 à 5 concernent les premières heures. Les suivantes viennent une fois l’attaque maîtrisée.
Appeler le (213) 986-4855 Récupération de données après ransomware
Aller à : Les premières heures Sauvegardes Payer Reconstruire Après
Étape 1. Isolez les machines infectées du réseau
Débranchez le câble réseau et coupez le Wi-Fi de chaque ordinateur ou serveur présentant des signes d’attaque. Si vous ne savez pas lesquels sont touchés, coupez la connexion Internet du bureau au niveau du routeur.
Laissez-les allumés. L’arrêt efface la mémoire de l’ordinateur, qui peut contenir des indices sur la souche, voire parfois les clés de chiffrement. Débranchez le réseau, pas l’alimentation.
Débranchez les disques de sauvegarde et les NAS qui n’ont pas encore été touchés, et suspendez toute synchronisation cloud, pour que le chiffrement ne puisse pas s’y propager.
Étape 2. Confirmez qu’il s’agit d’un ransomware et identifiez-le
Les signes : une demande de rançon sur le bureau ou dans chaque dossier, des fichiers avec une nouvelle extension qui ne s’ouvrent plus, ou un écran verrouillé exigeant un paiement. Photographiez la note. Sa formulation, l’extension des fichiers et l’adresse de contact permettent d’identifier la souche, et un site gratuit comme ID Ransomware peut faire la correspondance.
La souche compte. Elle indique ce que font habituellement les attaquants ensuite, s’ils volent aussi des données, et s’il existe un outil de déchiffrement gratuit sur No More Ransom.
Étape 3. Faites appel aux bonnes personnes
- Votre prestataire informatique, ou nous au (213) 986-4855
- Votre assureur cyber, immédiatement : la plupart des contrats imposent un délai de déclaration court, et certains désignent les prestataires d’intervention à utiliser
- Un avocat, si des données de clients, de patients ou de salariés ont pu être dérobées
- Le dirigeant ou la direction, qui devra prendre les décisions ci-dessous
Coordonnez-vous par téléphone ou par messagerie personnelle. Partez du principe que la messagerie et le chat de l’entreprise peuvent être surveillés.
Étape 4. Conservez les preuves
Avant tout nettoyage, effacement ou restauration, les disques touchés doivent être copiés et les journaux sauvegardés : pare-feu, serveurs, accès à distance et messagerie. Ces preuves montrent comment les attaquants sont entrés et ce qu’ils ont touché, et les assureurs comme les enquêteurs peuvent les demander. Ce sont aussi elles qui permettent ensuite à un laboratoire de récupération après ransomware de travailler sur les données.
Étape 5. Signalez l’attaque
Aux États-Unis, signalez-la au FBI sur ic3.gov et à la CISA sur cisa.gov/report. Le signalement est gratuit et ne confie le contrôle de vos systèmes à personne. Les forces de l’ordre détiennent parfois des clés ou des renseignements sur une souche. Si des données personnelles ont été exposées, la réglementation de la Californie et la réglementation fédérale peuvent vous obliger à prévenir les personnes concernées ; prenez conseil auprès d’un juriste.
Étape 6. Vérifiez ce que valent vraiment vos sauvegardes
Cette étape conditionne tout le reste. Déterminez s’il existe une copie que les attaquants n’ont pas pu atteindre : un disque hors ligne, une sauvegarde cloud immuable, une copie sur un autre site. Vérifiez sa date et testez la restauration de quelques fichiers sur une machine isolée avant de vous y fier.
- Sauvegarde saine et récente : vous pouvez reconstruire sans payer. Passez à l’étape 8.
- Sauvegardes également chiffrées ou supprimées : stoppez toute écriture sur le stockage de sauvegarde. Les machines virtuelles et fichiers de sauvegarde chiffrés peuvent souvent encore être reconstruits en laboratoire.
Étape 7. Ne précipitez pas la décision sur la rançon
Le FBI recommande de ne pas payer. Le paiement ne garantit pas un outil de déchiffrement fonctionnel, le déchiffrement est souvent lent et incomplet, les données volées peuvent être publiées ou vendues malgré tout, et payer désigne l’entreprise comme une cible qui paie. Payer certains groupes peut aussi enfreindre les règles de sanctions. Si la question se pose, tranchez-la avec la direction, votre avocat et votre assureur, et non sous la pression de l’échéance fixée dans la note.
Étape 8. Reconstruisez à partir de systèmes sains
N’essayez pas de nettoyer les machines infectées pour continuer à travailler. Effacez-les et réinstallez-les à partir de supports fiables, puis restaurez les données uniquement à partir de sauvegardes dont vous avez vérifié qu’elles sont saines. Commencez par ce sans quoi l’entreprise ne peut pas fonctionner, comme le contrôleur de domaine, la messagerie et la comptabilité, et gardez les machines reconstruites sur un réseau séparé jusqu’à leur vérification.
Réinitialisez tous les mots de passe : comptes administrateur, messagerie, accès à distance, services cloud et tout compte que les attaquants ont pu créer. Activez la connexion en deux étapes au fur et à mesure.
Étape 9. Analysez avant toute reconnexion
Lancez une analyse de sécurité complète sur chaque machine restaurée et recherchez les nouveaux comptes utilisateur, tâches planifiées et outils d’accès à distance que les attaquants ont pu laisser. Reconnecter une seule machine oubliée peut tout relancer.
Étape 10. Trouvez la porte d’entrée et fermez-la
La plupart des attaques contre les PME partent de quelques points seulement : un e-mail de phishing, un mot de passe volé ou réutilisé, un bureau à distance ouvert sur Internet, ou un pare-feu ou un VPN non mis à jour. Identifiez lequel et corrigez-le, puis mettez à jour votre plan avec les enseignements tirés. Nos dix niveaux de protection contre les ransomwares et notre checklist de sécurité sont un bon point de départ.
Combien de temps dure la reprise ?
Cela dépend presque entièrement des sauvegardes. Avec une sauvegarde saine et testée, un petit bureau peut redémarrer en quelques jours. Sans elle, la reconstruction et la récupération des données peuvent prendre des semaines. Agir vite sur les cinq premières étapes raccourcit le délai dans tous les cas.
Questions
Dois-je éteindre l’ordinateur ?
Non. Déconnectez-le du réseau et laissez-le allumé. L’éteindre peut détruire des preuves présentes en mémoire.
Puis-je simplement restaurer la sauvegarde de la nuit dernière ?
Seulement une fois l’attaque maîtrisée, la porte d’entrée fermée et la sauvegarde confirmée saine. Les attaquants sont souvent présents dans le réseau plusieurs jours avant de chiffrer : une sauvegarde récente peut donc contenir leurs outils.
Existe-t-il un outil de déchiffrement gratuit ?
Pour certaines souches anciennes, oui. Consultez No More Ransom avec le nom de la souche. Pour la plupart des souches actuelles, il n’en existe pas, et la récupération passe par les sauvegardes ou par les données elles-mêmes.
Suis-je obligé de signaler l’attaque ?
Le signalement au FBI et à la CISA est facultatif pour la plupart des PME, mais recommandé. Prévenir les personnes dont les données personnelles ont été exposées peut constituer une obligation légale. Consultez un avocat.
Besoin d’aide maintenant ?
Appelez le (213) 986-4855. Nous aidons les entreprises partout aux États-Unis, au Canada et en Amérique centrale et du Sud, à distance dès la première heure, et notre laboratoire ransomware, exploité avec Recoveo, récupère serveurs, machines virtuelles et sauvegardes chiffrés.
Ouvrir un dossier ransomware Intervention ransomware
D’après les recommandations du guide #StopRansomware de la CISA et du FBI. Cette page fournit des informations générales et ne constitue pas un conseil juridique.