Que faire lors d'une attaque de ransomware : plan d'action étape par étape

Si vous vous demandez que faire lors d'une attaque de ransomware, il faut agir rapidement, mais sans panique. L'objectif principal dans les premières minutes est d'arrêter la propagation du logiciel malveillant, de préserver les preuves, de protéger les sauvegardes et de préparer une restauration sécurisée. Cet article examine un ordre d'actions pratiques pour les entreprises et les utilisateurs domestiques : comment reconnaître un ransomware, quoi déconnecter, à qui signaler, payer ou non la rançon et comment réduire le risque d'une attaque répétée.

Un ransomware bloque l'accès aux fichiers et aux systèmes, puis exige une rançon pour la clé de décryptage. Parfois, les cybercriminels volent également des données et menacent de les publier. Par conséquent, la réaction doit prendre en compte non seulement la récupération des fichiers, mais aussi le risque de fuite d'informations.

Plan rapide pour les 15 premières minutes

Voici un algorithme compressé qui aide à gagner du temps et à réduire les dommages. Il convient dans la plupart des cas où des fichiers chiffrés apparaissent sur l'ordinateur, un message de demande de rançon ou des erreurs d'accès aux données apparaissent en masse.

1. Isolez le dispositif infecté du réseau. Débranchez le câble Ethernet, le Wi-Fi et le VPN. Ne connectez pas de disques externes.
2. Ne supprimez pas les notes des ravisseurs ni les fichiers suspects. Ils peuvent être nécessaires pour l'enquête et la recherche d'un déchiffreur.
3. Ne redémarrez pas l'ordinateur sans directive d'un spécialiste. Parfois, après un redémarrage, les traces de l'attaque sont perdues ou le chiffrement se poursuit.
4. Signalez-le à la personne responsable de l'informatique ou de la sécurité de l'information. Si vous êtes chez vous, notez l'heure de l'incident et photographiez l'écran.
5. Déconnectez les dossiers partagés et les stockages réseau, si vous y avez accès. Il est important d'arrêter la propagation par SMB, RDP, VPN et d'autres canaux.
6. Vérifiez les sauvegardes, mais ne les connectez pas à l'environnement infecté. Les sauvegardes doivent être protégées contre l'écrasement et l'infection.
7. Collectez des données minimales. Nom de l'appareil, utilisateur, heure de détection, extensions des fichiers chiffrés, texte de la demande de rançon.
8. Ne payez pas immédiatement. Évaluez d'abord l'ampleur, la disponibilité des sauvegardes, les risques juridiques et la possibilité d'un déchiffrement gratuit.

Comment comprendre qu'il s'agit d'une attaque de ransomware

Tout dommage à un fichier ne signifie pas ransomware. Cependant, il existe des signes qui, en combinaison, indiquent presque toujours une attaque de ransomware.

Signes principaux d'infection

Les symptômes typiques apparaissent comme suit :

• les fichiers ont reçu une nouvelle extension inhabituelle ;
• des documents, bases de données, photos ou archives ne s'ouvrent plus ;
• des fichiers avec des instructions pour payer la rançon sont apparus dans les dossiers ;
• le bureau a été modifié pour afficher un message de menace ;
• l'antivirus, EDR ou SIEM ont détecté un changement massif de fichiers ;
• les serveurs ont commencé à fonctionner lentement et les disques écrivent activement des données ;
• les utilisateurs ont perdu l'accès aux dossiers réseau ;
• des comptes sont soudainement bloqués ou utilisés à partir d'adresses inhabituelles ;
• les journaux montrent des connexions via RDP, PowerShell, PsExec ou des scripts suspects.

Une situation particulièrement dangereuse est lorsque le chiffrement se produit sur plusieurs ordinateurs ou serveurs de fichiers à la fois. Cela signifie que les cybercriminels ont peut-être déjà obtenu des droits administratifs.

Ce qu'il ne faut pas considérer comme une preuve à lui seul

Un fichier endommagé, une erreur de disque ou un plantage de programme ne sont pas toujours liés à des rançons. Par conséquent, il est important de ne pas tirer de conclusions hâtives. Vérifiez d'abord les journaux, les événements antivirus, l'historique des connexions et l'état d'autres dispositifs. Mais s'il y a un message de demande de rançon et un renommage massif des fichiers, réagissez comme s'il s'agissait d'un véritable incident.

Réaction étape par étape à l'incident

Lors d'une attaque de ransomware, il est important d'agir de manière séquentielle. Des actions chaotiques entravent l'enquête et peuvent augmenter les dommages. Voici un ordre pratique qui peut être utilisé comme liste de contrôle.

Étape 1. Désignez un coordinateur

L'entreprise doit avoir un seul responsable coordinateur : directeur informatique, spécialiste en sécurité de l'information, chef de l'équipe de jour ou expert extérieur. Il enregistre les décisions, répartit les tâches et empêche des actions conflictuelles.

Pour un utilisateur domestique, le rôle du coordinateur est plus simple : notez l'heure de détection, ce qui s'est passé avant l'incident, quels appareils étaient connectés et quels fichiers ont été touchés.

Étape 2. Isolez les systèmes infectés

L'isolement est la priorité principale. Déconnectez le réseau des dispositifs infectés, mais ne commencez pas à éteindre tout en masse sans plan. Si le chiffrement est actif sur un serveur de fichiers, il peut être nécessaire de déconnecter immédiatement l'interface réseau ou de bloquer l'accès aux ressources partagées.

Que faire :

• déconnectez les câbles réseau des postes de travail infectés ;
• éteignez les clients Wi-Fi et VPN ;
• bloquez les comptes suspects ;
• limitez temporairement les connexions RDP, SMB et administratives ;
• désactivez la synchronisation des dossiers cloud s'ils propagent des fichiers chiffrés ;
• séparez les serveurs critiques du réseau utilisateur.

Ce qu'il faut éviter : ne connectez pas de clés USB, disques externes et supports de sauvegarde à l'ordinateur infecté. Cela pourrait chiffrer la seule copie des données.

Étape 3. Conservez les preuves

Les preuves aident à comprendre la méthode d'intrusion et à trouver une méthode de récupération. Ne supprimez pas les notes des ravisseurs, les fichiers exécutables suspects, les archives, les scripts et les journaux. Si possible, créez une image disque ou une capture d'écran de la machine virtuelle.

Il est utile de conserver :

• des captures d'écran des messages des ravisseurs ;
• un exemple de fichier chiffré et son original, s'il existe ;
• le texte de la demande de rançon ;
• les journaux Windows, Linux, VPN, pare-feu, passerelle de messagerie et EDR ;
• la liste des processus actifs et des connexions réseau ;
• les informations sur le temps de la première activité.

Ne soumettez pas de fichiers confidentiels sur des sites aléatoires pour vérification. Utilisez uniquement des services de confiance et supprimez les données personnelles ou commerciales si possible.

Étape 4. Arrêtez les comptes des cybercriminels

De nombreuses attaques modernes de ransomware commencent non pas par un fichier viral, mais par un mot de passe volé. Les cybercriminels accèdent via VPN, RDP, panneaux cloud, e-mails ou comptes administratifs. Il est donc nécessaire de vérifier rapidement les connexions suspectes.

Actions :

• désactivez les comptes détectés avec des connexions suspectes ;
• changez les mots de passe des administrateurs depuis un dispositif propre ;
• révoquez les sessions et jetons VPN actifs ;
• examinez les règles de transfert dans le système de messagerie ;
• activez l'authentification multifactorielle là où elle n'était pas utilisée ;
• vérifiez les nouveaux comptes et les changements dans les groupes d'administrateurs.

Il est important de changer les mots de passe uniquement après l'isolement des systèmes infectés. Si un logiciel malveillant fonctionne sur l'ordinateur, il peut intercepter de nouvelles données d'identification.

Étape 5. Évaluez l'ampleur de l'attaque

Avant la récupération, il est nécessaire de comprendre ce qui est contaminé. Sinon, vous risquez de remettre un système encore infiltré par le cybercriminel.

Vérifiez :

• les stations de travail des utilisateurs ;
• les serveurs de fichiers et les dossiers réseau ;
• les contrôleurs de domaine ;
• les serveurs de sauvegarde ;
• les hyperviseurs et les stockages de machines virtuelles ;
• les répertoires cloud et les services SaaS ;
• les boîtes aux lettres et les règles de transfert ;
• les journaux VPN, pare-feu et proxy.

Dressez une liste des systèmes dans trois catégories : contaminés, suspects, conditionnellement sains. Mettez-la à jour au fur et à mesure de l'enquête.

Étape 6. Protégez les sauvegardes

Les sauvegardes sont la ressource principale lors de la restauration après un ransomware. Cependant, de nombreuses attaques ciblent spécifiquement les serveurs de sauvegarde. Ne commencez pas la restauration tant que vous n'êtes pas certain que les copies ne sont pas endommagées et accessibles par les cybercriminels.

Vérifiez s'il existe :

• des copies hors ligne sur des supports déconnectés ;
• des sauvegardes non altérables, comme un stockage immuable ;
• des copies avant la date de compromission ;
• des comptes séparés pour le système de sauvegarde ;
• des journaux de suppressions, d'écritures ou de tâches de sauvegarde échouées.

Si les sauvegardes sont sur le cloud, vérifiez l'historique des versions, la corbeille, les paramètres d'accès et les journaux de connexion.

Étape 7. Choisissez une stratégie de restauration

Il existe trois options principales : restauration à partir de sauvegardes, déchiffrement à l'aide d'un outil disponible ou réinstallation complète avec transfert de données propres. Une combinaison est souvent utilisée.

Situation	Meilleure action	Ce qu'il faut éviter
Il y a des sauvegardes saines	Réinstaller les systèmes et restaurer les données à partir des sauvegardes	Restaurer par-dessus un système d'exploitation infecté
Il y a un déchiffreur connu	Le tester sur des copies de fichiers	Exécuter des utilitaires non vérifiés provenant d'auteurs inconnus
Pas de sauvegardes	Conserver des images disque et faire appel à des spécialistes	Supprimer les fichiers chiffrés et formater les disques immédiatement
Indices de fuite de données	Impliquer des avocats et la direction	Cacher l'incident aux personnes responsables
Infrastructure de domaine infectée	Restaurer l'environnement de confiance depuis le début ou à partir de copies propres	Simplement changer les mots de passe et réactiver les serveurs

Faut-il payer la rançon

La réponse courte : il ne faut pas payer tant que toutes les options sûres n'ont pas été épuisées. Le paiement ne garantit pas le déchiffrement, ne garantit pas la suppression des données volées et peut créer des risques juridiques et réputationnels supplémentaires. De plus, vous montrez aux criminels que l'organisation est prête à payer.

Cependant, dans la vie réelle, cette solution est parfois envisagée en cas d'infrastructure critique, de menace pour la vie humaine ou d'absence totale de sauvegardes récupérables. Dans ce cas, la décision doit être prise par la direction avec les avocats, les spécialistes de la sécurité et, si nécessaire, les forces de l'ordre. Il est important de prendre en compte les restrictions de sanctions et le risque de financement de groupes criminels.

Avant toute décision, vérifiez :

• si des sauvegardes fonctionnelles existent ;
• si le type de ransomware est connu ;
• s'il existe un déchiffreur gratuit ;
• si des données ont été volées ;
• quelles lois et obligations contractuelles s'appliquent ;
• comment le paiement influencera la sécurité future.

Si les attaques ont envoyé ce qu'on appelle une preuve de déchiffrement d'un fichier, cela ne garantit pas la restauration de toute l'infrastructure.

Où chercher un déchiffreur

Parfois, les fichiers peuvent être récupérés sans rançon. Pour certaines familles de ransomware, des déchiffreurs gratuits sont publiés. Vous pouvez commencer par des projets connus de lutte contre les rançons, comme No More Ransom, les sites de fabricants d'antivirus et les recommandations des centres nationaux de cybersécurité.

Avant d'utiliser un déchiffreur :

1. Faites des copies des fichiers chiffrés.
2. Conservez les fichiers originaux tels quels.
3. Exécutez l'outil sur une machine isolée.
4. Vérifiez la source de téléchargement.
5. Testez le déchiffrement sur un petit ensemble de données.

Ne faites pas confiance aux sites qui promettent un déchiffreur universel pour tous les ransomware. Aucun déchiffreur universel n'existe.

Récupération après une attaque de ransomware

La récupération ne consiste pas seulement à ramener des fichiers. Il faut s'assurer que le cybercriminel n'a plus accès et que la vulnérabilité par laquelle l'attaque s'est produite est close.

Récupérez uniquement dans un environnement propre

La meilleure approche consiste à déployer de nouveaux systèmes ou à les restaurer à partir d'images assurément propres. Ensuite, installez les mises à jour, configurez la protection, changez les mots de passe et seulement après cela, transférez les données à partir des sauvegardes vérifiées.

Il n'est pas prudent de simplement supprimer le fichier malveillant et de continuer à travailler. Les groupes de ransomwares modernes laissent souvent plusieurs moyens de revenir : nouveaux comptes, tâches du planificateur, web shell, politiques modifiées, jetons d'accès et outils cachés de gestion à distance.

Vérifiez la date de compromission

L'infection peut avoir commencé des jours ou des semaines avant le chiffrement. Si vous récupérez une copie trop récente, vous pourriez remettre un système déjà compromis dans le réseau. Par conséquent, recherchez les premiers signes : première connexion suspecte, exécution de script, création d'un nouveau compte, désactivation de la protection, analyse du réseau.

Testez les données avant de redémarrer l'activité

Avant de remettre les systèmes en service, vérifiez l'intégrité des bases de données, les droits d'accès, le fonctionnement des applications et l'actualité des configurations. Pour les services critiques, réalisez un test dans un segment isolé.

Ordre utile :

1. Restaurer les services d'infrastructure : domaine, DNS, DHCP, identification.
2. Restaurer les systèmes de sécurité : EDR, SIEM, journaux, sauvegarde.
3. Élever des applications critiques pour les affaires.
4. Vérifier les données et les droits d'accès.
5. Connecter les utilisateurs par groupes, et non tous en même temps.
6. Surveiller le réseau après le démarrage.

Que faire pour les entreprises lors d'une attaque de ransomware

Pour l'organisation, un incident de ransomware affecte non seulement l'IT. Cela influence les opérations, les clients, les contrats, les données personnelles et les finances. Par conséquent, il est important d'impliquer immédiatement le cadre de gestion et le cadre juridique.

Organisez les communications

Désignez des responsables pour les messages internes, la communication avec les clients, les partenaires et les sous-traitants. Ne faites pas de promesses non vérifiées. Il vaut mieux communiquer des faits : quels services sont indisponibles, ce qui a déjà été fait, quand la prochaine mise à jour sera disponible.

Les employés doivent être informés :

• quels systèmes ne doivent pas être allumés ;
• où signaler des fichiers et des e-mails étranges ;
• s'il est permis d'utiliser des dispositifs personnels ;
• quels canaux de communication sont officiels ;
• qui prend les décisions sur la restauration.

Évaluez le risque de fuite de données

Si les cybercriminels avaient accès au réseau, on ne peut pas écarter le vol d'informations. Vérifiez le trafic sortant, les archives, les téléchargements cloud, les journaux proxy, les e-mails et les actions des comptes privilégiés. Si des données personnelles, des secrets commerciaux ou des données clients ont pu être compromises, impliquez les avocats et déterminez les obligations de notification.

Dans différents pays et secteurs, différentes exigences s'appliquent. Il n'y a donc pas de modèle universel pour les notifications. Mais cacher un incident à l'intérieur de l'organisation est dangereux : cela empêche une enquête correcte et augmente le risque d'attaques répétées.

Faites appel à des spécialistes si vous n'avez pas d'expérience

S'il y a des serveurs, un domaine, des sauvegardes ou plusieurs sites touchés, il vaut mieux faire appel à une équipe d'intervention sur incident. Les spécialistes aideront à préserver les preuves, à identifier le point d'entrée, à évaluer les fuites et à établir un plan de récupération sécurisé.

Que faire pour un utilisateur domestique

Si un ransomware attaque un ordinateur personnel, la procédure est plus simple, mais les principes restent les mêmes.

Faites ce qui suit :

1. Déconnectez l'ordinateur d'internet et du réseau domestique.
2. Ne connectez pas de disque externe avec des photos ou des archives.
3. Photographiez le message des ravisseurs.
4. Copiez quelques fichiers chiffrés et la note sur un support séparé si un spécialiste le demande.
5. Vérifiez d'autres dispositifs dans la maison.
6. Changez les mots de passe des e-mails, des banques, des services cloud et des réseaux sociaux depuis un dispositif propre.
7. Vérifiez les stockages cloud et l'historique des versions des fichiers.
8. Vérifiez s'il existe un déchiffreur gratuit pour votre type de ransomware.
9. Réinstallez le système ou faites appel à un service si vous n'êtes pas sûr de la propreté de l'ordinateur.

Si des fichiers chiffrés ont été synchronisés dans le cloud, ne vous précipitez pas pour nettoyer les dossiers. De nombreux services permettent de restaurer les versions antérieures ou de revenir à l'état du répertoire.

Comment prévenir une attaque répétée

Après la récupération, il est nécessaire de fermer les causes de l'incident. Sinon, une attaque peut se reproduire par les mêmes identifiants ou vulnérabilités.

Configurez des sauvegardes fiables

Une bonne stratégie de sauvegarde repose sur le principe de plusieurs copies indépendantes. Une orientation pratique consiste à conserver les données dans au moins différents lieux et à avoir une copie qui ne peut pas être rapidement modifiée depuis le réseau de travail.

Vérifiez :

• la régularité des sauvegardes ;
• la restauration automatique testée ;
• des comptes séparés pour la sauvegarde ;
• la protection contre la suppression et l'écriture ;
• des copies hors ligne ou immuables ;
• la documentation concernant la restauration des systèmes critiques.

Une sauvegarde qui n'a jamais été vérifiée ne peut pas être considérée comme fiable.

Renforcez les accès et les comptes

Une grande partie des dommages provient de droits privilégiés. Limitez l'accès administrateur, utilisez l'authentification multifactorielle, désactivez les comptes inutilisés et vérifiez régulièrement les groupes d'administrateurs.

Portez une attention particulière à RDP et VPN. Ne laissez pas RDP ouvert sur internet. Pour l'accès à distance, utilisez VPN, MFA, restrictions par IP et surveillance des connexions.

Mettez à jour et segmentez le réseau

Les mises à jour ferment les vulnérabilités connues et la segmentation empêche le ransomware d'accéder rapidement à tous les systèmes. Séparez les ordinateurs des utilisateurs, les serveurs, les sauvegardes, les systèmes de production et les postes de travail administratifs.

Il est également utile :

• un EDR ou une protection antivirus de qualité ;
• une collecte centralisée des journaux ;
• un filtrage des e-mails et des pièces jointes ;
• une interdiction des macros provenant d'internet ;
• un contrôle des scripts d'exécution ;
• le principe de privilèges minimaux ;
• la formation des employés au phishing ;
• un plan de réponse aux incidents.

Questions fréquentes sur les attaques de ransomware

Peut-on éteindre l'ordinateur lors d'une attaque de ransomware

Si le chiffrement se poursuit activement, l'isolement du réseau est la priorité absolue. Une extinction totale peut parfois aider à arrêter le processus, mais peut détruire des données en mémoire vive nécessaires à l'enquête. Dans une entreprise, il est préférable de d'abord déconnecter le réseau et d'appeler un spécialiste. À la maison, si le processus chiffre clairement des fichiers et qu'il n'y a pas d'aide, l'extinction peut être une mesure raisonnable pour arrêter les dommages.

Faut-il supprimer le virus immédiatement

Ne vous précipitez pas. Conservez d'abord les preuves et les exemples de fichiers. Ensuite, supprimez le logiciel malveillant ou réinstallez le système. Si vous supprimez tout d'un coup, il sera plus difficile de comprendre comment l'attaque s'est produite et quelles données ont pu être affectées.

Peut-on récupérer des fichiers sans sauvegarde

Parfois oui, si un déchiffreur existe pour une famille particulière de ransomware ou si des données sont restées dans des copies d'ombre, des versions cloud, des pièces jointes de messagerie, sur d'autres dispositifs. Mais il n'y a pas de garantie. Par conséquent, les sauvegardes restent le principal moyen de protection.

Un antivirus aidera-t-il après une infection

Un antivirus peut arrêter certaines processus malveillants et trouver des résidus de malware. Mais il ne déchiffrera pas toujours les fichiers et ne remplace pas l'enquête. Après une attaque, il est important de comprendre le point d'entrée, de changer les informations d'identification compromises et de restaurer les systèmes à partir d'une source propre.

Que faire si un serveur 1C ou une base de données est chiffré

D'abord, isolez le serveur et arrêtez l'accès des utilisateurs. Ensuite, conservez une copie de la base de données chiffrée, les journaux et les sauvegardes. Restaurez la base uniquement dans un environnement propre et vérifiez systématiquement l'intégrité des données. Si le serveur faisait partie d'un domaine, vérifiez également les comptes, les dossiers réseau et les serveurs voisins.

Comment savoir si des données ont été volées

Il faut analyser les journaux du trafic sortant, les actions des comptes, l'archivage des fichiers, les connexions aux services cloud et les outils des cybercriminels. L'absence de preuve claire ne signifie pas toujours qu'il n'y a pas eu de fuite. Si les données sont sensibles, il est préférable de mener une enquête complète.

Quels contacts après une attaque

Les entreprises devraient contacter des spécialistes des réponses aux incidents, des avocats, les compagnies d'assurance en cas de cyberassurance et, si nécessaire, les forces de l'ordre. Un utilisateur domestique peut contacter un centre de service vérifié et rechercher un déchiffreur sur des ressources fiables.

Plan d'action final

Lors d'une attaque de ransomware, l'essentiel est de ne pas payer dans la panique et de ne pas restaurer les systèmes aveuglément. Isolez d'abord les dispositifs infectés, préservez les preuves, protégez les sauvegardes et évaluez l'ampleur de l'incident. Ensuite, restaurez les données uniquement dans un environnement propre, changez les accès compromis et fermez le point d'entrée. Commencez par l'isolement tout de suite, en prenant note des signes de l'attaque et en mobilisant des spécialistes si des serveurs, des sauvegardes ou des données importantes ont été touchés.