Comment guérir un ordinateur d'un virus ransomware : guide étape par étape

Si vous devez guérir un ordinateur d'un virus ransomware, la principale chose à faire est de ne pas paniquer et de ne pas agir brusquement. Le ransomware bloque l'accès aux fichiers et demande une rançon pour leur décryptage. Cet article traite des premières actions à entreprendre après une infection, de la suppression sécurisée du logiciel malveillant, des options de récupération des données, de la prévention des nouvelles attaques et des réponses aux questions fréquentes.

Un point important : soigner un ordinateur et récupérer des fichiers sont deux tâches différentes. Un antivirus peut supprimer le code malveillant actif, mais il ne pourra pas toujours déchiffrer les documents, photos, bases de données ou archives déjà endommagés. Par conséquent, l'ordre des actions est crucial.

Qu'est-ce qu'un virus ransomware

Un virus ransomware est un logiciel malveillant qui trouve des fichiers utilisateur et les chiffre. Après cela, un message avec une demande de rançon apparaît à l'écran ou dans les dossiers. Il indique généralement le montant, le portefeuille de crypto-monnaie, le délai de paiement et des menaces de supprimer la clé de décryptage.

Les fichiers les plus souvent chiffrés sont :

• documents Microsoft Office et PDF ;
• photos et vidéos ;
• archives ZIP, RAR, 7z ;
• bases de données et fichiers comptables ;
• projets, dessins, code source ;
• fichiers sur des disques réseau connectés et des périphériques externes.

Le ransomware peut infecter un ordinateur par une pièce jointe dans un e-mail, un lien malveillant, un logiciel piraté, une vulnérabilité dans l'accès distant, une clé USB infectée ou un compte piraté. Dans un réseau d'entreprise, un seul ordinateur infecté peut parfois servir de point d'entrée pour une attaque sur des serveurs et des dossiers communs.

Comment savoir si un ordinateur est infecté par un ransomware

Les signes d'infection sont généralement visibles immédiatement, mais parfois l'attaque se développe progressivement. Plus vite vous détectez le problème, plus vous avez de chances de limiter les dommages.

Les principaux symptômes

• Les fichiers ont cessé de s'ouvrir, alors qu'ils fonctionnaient auparavant.
• Les documents ont acquis des extensions étranges, comme .locked, .crypt, .encrypted ou un ensemble aléatoire de caractères.
• Des fichiers apparaissent dans les dossiers avec des noms comme readme.txt, how_to_decrypt.html, restore_files.txt.
• Le bureau a changé, une demande de rançon est apparue.
• L'ordinateur a considérablement ralenti, le disque fonctionne activement, mais vous n'avez rien lancé.
• L'antivirus signale un ransomware, un cheval de Troie, un dropper ou un processus suspect.
• Les copies de sauvegarde de Windows ou les points de restauration sont inaccessibles.

Ce qu'il ne faut pas faire

Des actions erronées peuvent aggraver la situation. Ne vous précipitez donc pas pour réinstaller Windows et ne supprimez pas tout à la va-vite.

Il est déconseillé de :

• payer la rançon sans consulter un spécialiste ;
• supprimer le message des rançonneurs s'il contient un identifiant d'infection ;
• formater le disque avant de créer une copie des données chiffrées ;
• connecter des disques de sauvegarde à un ordinateur infecté ;
• lancer des « déchiffreurs » douteux provenant de forums ;
• continuer à travailler sur le réseau si l'ordinateur est connecté à des dossiers partagés.

Le paiement ne garantit pas la récupération. De plus, les criminels peuvent envoyer une clé non fonctionnelle, demander un paiement supplémentaire ou attaquer à nouveau la même infrastructure.

Premières actions lors d'une infection

Voici un ordre de base qui convient pour un PC domestique et pour un poste de travail au bureau. Si un serveur, un réseau de domaine ou une base de données importante est infecté, il est préférable de faire immédiatement appel à un spécialiste en sécurité informatique.

Plan étape par étape

1. Déconnectez Internet et le réseau local. Débranchez le câble réseau, éteignez le Wi-Fi et le Bluetooth. Cela aidera à interrompre la connexion avec le serveur de commande et à réduire le risque d'infection des dossiers réseau.
2. Ne passez pas brusquement l'ordinateur hors tension si le processus de chiffrement est encore en cours. Commencez par déconnecter le réseau. Ensuite, vérifiez s'il y a une charge active sur le disque. En cas de doute, il est préférable de prendre une photo de l'écran et de consulter un spécialiste.
3. Débranchez les périphériques externes. Si des clés USB, des disques USB ou des stockages réseau sont connectés, débranchez-les. Mais ne les connectez pas à d'autres ordinateurs avant vérification.
4. Prenez une photo du message de rançon. Notez les adresses, les extensions de fichiers, l'identifiant de la victime et les titres des fichiers d'instructions.
5. Faites une copie des fichiers chiffrés. Copiez les données importantes sur un support vierge distinct ou créez une image du disque. Cela est nécessaire pour un futur décryptage, si un déchiffreur fonctionnel apparaît.
6. Vérifiez si le chiffrement continue. Ouvrez le gestionnaire des tâches et examinez les processus suspects à forte charge sur le disque ou le CPU. Ne les supprimez pas au hasard si vous n'êtes pas sûr.
7. Lancez une vérification avec un logiciel antivirus fiable. Il est préférable d'utiliser un disque antivirus de démarrage ou un scanner d'un fabricant connu.
8. Après avoir supprimé la menace, passez à la récupération des données. Utilisez les sauvegardes, les copies de sauvegarde de Windows ou les déchiffreurs officiels, s'ils existent pour votre variante de ransomware.

Cet ordre réduit le risque de perdre des fichiers supplémentaires et aide à conserver des preuves d'infection.

Comment supprimer en toute sécurité un virus ransomware

La suppression d'un ransomware doit être effectuée avec prudence. L'objectif est d'arrêter le logiciel malveillant, de supprimer l'auto-chargement, de vérifier le système et de s'assurer que la menace ne reviendra pas après le redémarrage.

Préparation au traitement

Avant le traitement, effectuez trois actions :

• conservez une copie du message des rançonneurs ;
• copiez plusieurs fichiers chiffrés pour analyse ;
• créez une sauvegarde de l'ensemble du disque, si les données sont importantes.

Même si les fichiers ne s'ouvrent pas actuellement, ils ne doivent pas être considérés comme inutilisables. Pour certaines familles de ransomware, des déchiffreurs gratuits apparaissent plus tard. Sans les fichiers chiffrés originaux, la récupération sera impossible.

Vérification en mode sans échec

Sur Windows, vous pouvez démarrer en mode sans échec avec ou sans prise en charge réseau. S'il y a un risque que le ransomware continue à communiquer avec le serveur, il est préférable de choisir d'abord le mode sans réseau.

Ordre général :

1. Ouvrez les options de récupération de Windows.
2. Allez dans la section des options de démarrage avancées.
3. Sélectionnez le mode sans échec.
4. Lancez une vérification antivirus.
5. Supprimez les menaces détectées ou mettez-les en quarantaine.
6. Redémarrez l'ordinateur et procédez à une nouvelle analyse.

Cependant, le mode sans échec n'aide pas toujours. Certains ransomwares récents utilisent des services, le planificateur de tâches, des pilotes ou les identifiants administratifs. Par conséquent, une simple suppression manuelle ne suffit souvent pas.

Utilisation d'un antivirus de démarrage

Un support antivirus de démarrage est l'une des options les plus sûres. Il se lance avant Windows et vérifie le disque sans le fonctionnement actif du système infecté.

Les avantages de cette approche :

• les processus malveillants ne peuvent pas démarrer ;
• plus facile de supprimer les fichiers bloqués ;
• risque réduit que le ransomware interfère avec la vérification ;
• possibilité de vérifier le système avec des bases à jour.

Utilisez des solutions de fournisseurs de sécurité connus. Téléchargez-les uniquement à partir de sites officiels. Créez une clé USB de démarrage sur un ordinateur propre.

Vérification manuelle de l'auto-chargement

Après un nettoyage automatique, il est utile de vérifier les endroits d'où le logiciel malveillant pourrait se relancer :

• dossiers de démarrage de l'utilisateur et du système ;
• planificateur de tâches Windows ;
• sections du registre Run et RunOnce ;
• dossiers temporaires %Temp% et %AppData% ;
• programmes récemment installés ;
• services suspects ;
• règles de pare-feu ;
• extensions de navigateur.

La suppression manuelle nécessite de l'expérience. Si vous n'êtes pas sûr, il est préférable de ne pas modifier le registre et les services système. Une erreur peut entraîner un fonctionnement instable de Windows.

Quand il est préférable de réinstaller le système

Parfois, soigner un ordinateur d'un virus ransomware ne donne pas suffisamment de confiance. La réinstallation de Windows est justifiée si :

• l'infection s'est produite avec des droits d'administrateur ;
• l'antivirus trouve à nouveau des menaces ;
• des services de sécurité ont été désactivés ;
• on ne sait pas quels autres logiciels malveillants sont entrés dans le système ;
• l'ordinateur a été utilisé pour des opérations bancaires, de la comptabilité ou l'administration de serveurs ;
• l'attaquant a obtenu l'accès à distance.

Avant de réinstaller, sauvegardez les fichiers chiffrés, les messages des rançonneurs et les journaux importants. Ensuite, nettoyez le disque, réinstallez le système, mettez à jour Windows, installez un antivirus et seulement après cela, connectez les sauvegardes.

Comment récupérer des fichiers après un ransomware

Après avoir supprimé la menace active, vous pouvez passer à la récupération. Il est important de ne pas promettre l'impossible : il n'existe pas de méthode universelle pour déchiffrer tous les ransomwares. Mais il y a plusieurs options légitimes et sûres.

Comparaison des méthodes de récupération

Méthode	Quand cela convient	Risques et limitations
Sauvegarde	Il y a une sauvegarde propre avant l'infection	Il faut s'assurer que la sauvegarde n'est pas infectée ou chiffrée
Copies d'ombre de Windows	La protection du système est activée, les copies n'ont pas été supprimées	De nombreux ransomwares suppriment les copies d'ombre
Déchiffreur officiel	La famille de ransomware a déjà été étudiée	Le déchiffreur n'existe pas pour toutes les variantes
Récupération de fichiers supprimés	Le ransomware a créé des copies et supprimé les originales	Le résultat dépend de l'état du disque et du temps écoulé depuis l'attaque
Consultation de spécialistes	Les données sont critiques	Coûteux, mais réduit le risque d'erreurs

Récupération depuis une sauvegarde

La méthode la plus fiable est de restaurer les données à partir d'une sauvegarde créée avant l'infection. Mais ne connectez pas la sauvegarde à un ordinateur infecté avant un nettoyage complet. Sinon, le ransomware pourrait aussi chiffrer les copies.

Ordre correct :

1. Nettoyez ou réinstallez le système.
2. Installez les mises à jour et le logiciel de sécurité.
3. Vérifiez le support de sauvegarde avec un antivirus.
4. Assurez-vous que la date de la copie est antérieure à l'infection.
5. Restaurez les données dans un dossier séparé.
6. Vérifiez au hasard plusieurs documents.
7. Ce n'est qu'après cela que vous pouvez retourner les fichiers dans les répertoires de travail.

Pour les entreprises, il est préférable de d'abord restaurer les données dans un environnement isolé. Cela permettra de vérifier l'intégrité des bases de données, des droits d'accès et des journaux.

Vérification des copies d'ombre de Windows

Windows peut créer des copies d'ombre de fichiers et des points de restauration. Si le ransomware ne les a pas supprimées, vous pouvez récupérer des versions précédentes.

Essayez ainsi :

1. Cliquez avec le bouton droit sur le dossier contenant les fichiers endommagés.
2. Sélectionnez « Propriétés ».
3. Allez dans l'onglet « Versions précédentes ».
4. Choisissez une version datant d'avant l'infection.
5. Copiez-la dans un endroit sûr.

Si l'onglet est vide, les copies ont pu être désactivées ou supprimées. N'installez pas de programmes douteux promettant de « ramener toutes les copies d'ombre ». Souvent, ils sont inutiles ou dangereux.

Recherche d’un déchiffreur gratuit

Pour certains ransomwares, des utilitaires de décryptage gratuits existent. Ils sont publiés par des entreprises antivirus et des projets internationaux de lutte contre les ransomware.

Pour vérifier la possibilité de décryptage :

• trouvez le nom de la famille de ransomware dans le rapport de l'antivirus ;
• vérifiez l'extension des fichiers chiffrés ;
• conservez le message des rançonneurs ;
• utilisez les services d'identification des ransomware fournis par des organisations reconnues ;
• téléchargez le déchiffreur uniquement à partir d'une source officielle.

Ne transmettez pas de fichiers supplémentaires aux criminels, sauf si cela est nécessaire. Ne lancez pas le déchiffreur si son origine est inconnue. Des outils de récupération contrefaits peuvent réinfecter l'ordinateur.

Récupération des originaux supprimés

Certains anciens ransomwares créaient une copie chiffrée du fichier, tout en supprimant l'original. Dans ce cas, des programmes de récupération de données supprimées peuvent parfois aider. Mais le succès dépend de savoir si des secteurs du disque ont été réécrits.

Important :

• n'installez pas de programme de récupération sur le même disque ;
• ne conservez pas les fichiers retrouvés sur la partition d'origine ;
• travaillez avec une image du disque si les données sont particulièrement précieuses ;
• n'effectuez pas de défragmentation et de nettoyage du disque avant d'avoir tenté la récupération.

Sur un SSD, le résultat est souvent pire en raison de la commande TRIM, qui nettoie les blocs supprimés. Plus l'écriture sur le disque a été arrêtée tôt, mieux c'est.

Faut-il payer la rançon

Payer la rançon est extrêmement risqué. Vous pourriez ne pas recevoir la clé, recevoir un programme non fonctionnel ou devenir la cible d'une nouvelle attaque. De plus, le paiement soutient un système criminel.

Cependant, dans la vie réelle, les entreprises envisagent parfois cette option, si une production critique est arrêtée ou s'il n'y a pas de sauvegardes. Dans ce cas, la décision doit être prise après une consultation juridique, une évaluation des risques de sanctions, une vérification de l'incident par des spécialistes et une analyse des alternatives. Pour un utilisateur domestique, le paiement est presque toujours la pire option.

Il vaut mieux d'abord épuiser les moyens sûrs : sauvegardes, copies d'ombre, déchiffreurs officiels, récupération de fichiers supprimés et expertise professionnelle.

Comment savoir quel ransomware a infecté l'ordinateur

Identifier la famille de ransomware aide à choisir la méthode de récupération. Parfois, rien qu'en examinant l'extension du fichier, il est déjà possible de trouver des informations, mais ce n'est pas toujours fiable. Différents logiciels malveillants peuvent utiliser des extensions similaires.

Collectez les informations suivantes :

• texte du message des rançonneurs ;
• adresses e-mail ou sites Web dans les instructions ;
• extension des fichiers chiffrés ;
• un exemple de fichier chiffré sans données personnelles ;
• la version non chiffrée de ce fichier, si elle existe ;
• date et heure approximative d'infection ;
• rapport de l'antivirus.

Ces informations aideront les services d'identification et les spécialistes. Mais ne publiez pas de documents confidentiels en accès public.

Soins d'un ordinateur domestique et d'un réseau de travail

L'approche dépend de l'ampleur de l'infection. Un PC domestique est généralement plus facile à isoler et à récupérer. Au bureau, il faut prendre en compte les dossiers partagés, les serveurs, les comptes et les journaux d'événements.

Si l'ordinateur personnel est infecté

Pour un utilisateur domestique, un plan raisonnable est le suivant :

1. Déconnecter Internet.
2. Conserver les preuves et des copies des fichiers chiffrés.
3. Vérifiez le système avec un antivirus de démarrage.
4. Supprimez les menaces trouvées.
5. Changez les mots de passe depuis un autre appareil propre.
6. Vérifiez les stockages en nuage et l'historique des versions.
7. Récupérez les données à partir des sauvegardes ou des déchiffreurs officiels.
8. Mettez à jour Windows, le navigateur et les programmes.
9. Configurez une sauvegarde régulière.

Vérifiez également la synchronisation avec le cloud. Si les fichiers chiffrés ont été téléchargés dans le stockage cloud, utilisez l'historique des versions ou la corbeille du service.

Si l'organisation est infectée

Dans une entreprise, il est important non seulement de guérir l'ordinateur d'un ransomware, mais aussi de comprendre le chemin d'infiltration. Sinon, l'attaque peut se reproduire.

Il faut réaliser :

• isolation des stations de travail et serveurs infectés ;
• désactivation des comptes compromis ;
• collecte des journaux d'événements ;
• vérification des contrôleurs de domaine ;
• analyse de l'accès à distance, VPN et RDP ;
• recherche de tâches et de scripts malveillants ;
• évaluation de la fuite de données ;
• récupération à partir de sauvegardes vérifiées ;
• changement de mots de passe et de clés d'accès ;
• documentation de l'incident.

Si des données personnelles, des systèmes financiers ou une infrastructure critique sont touchés, il peut exister des obligations juridiques d'informer les régulateurs et les clients. De telles questions sont mieux résolues avec des avocats et des spécialistes de la discipline.

Comment se protéger contre les nouvelles infections

La prévention est moins coûteuse et plus fiable que la récupération après une attaque. Les ransomwares exploitent souvent les mêmes failles : anciens programmes, mots de passe faibles, RDP non sécurisé, absence de sauvegardes et négligence envers les pièces jointes.

Configurez la sauvegarde selon la règle 3-2-1

La règle 3-2-1 signifie :

• 3 copies de données importantes ;
• 2 types de supports différents ;
• 1 copie est stockée séparément du système principal.

Par exemple, les fichiers de travail se trouvent sur l'ordinateur, une copie sur un disque externe, une autre dans le cloud avec un historique des versions. Le disque externe ne doit pas rester constamment connecté. Sinon, le ransomware pourrait également chiffrer celui-ci.

Vérifiez régulièrement les possibilités de récupération. Une sauvegarde qui ne peut pas être restaurée n'est pas une protection fiable.

Mettez à jour le système et les programmes

Les vulnérabilités de Windows, des navigateurs, des suites bureautiques, des outils de compression et de l'accès distant sont souvent exploitées pour infecter. Activez les mises à jour automatiques. Supprimez les programmes que vous n'utilisez pas. Ne travaillez pas constamment avec un compte administrateur.

Portez une attention particulière à :

• Windows Update ;
• Microsoft Office ou un autre pack bureautique alternatif ;
• navigateurs et extensions ;
• Java, si elle est vraiment nécessaire ;
• outils de compression ;
• clients VPN ;
• programmes d'accès à distance.

Protégez l'accès distant

Un RDP ouvert avec un mot de passe simple est une cause fréquente d'incidents de ransomware. Si l'accès distant est nécessaire, utilisez un VPN, une authentification à plusieurs facteurs, des mots de passe complexes et une restriction par adresse IP.

Il est conseillé de :

• désactiver le RDP s'il n'est pas nécessaire ;
• interdire l'accès administrateur direct via Internet ;
• activer le blocage après plusieurs tentatives de connexion infructueuses ;
• utiliser des mots de passe uniques ;
• vérifier régulièrement la liste des utilisateurs ;
• activer les journaux de connexion et la surveillance.

Formez les utilisateurs

La plupart des infections commencent par unaction humaine : ouvrir une pièce jointe inattendue, activer un macro, lancer un « activateur » ou télécharger un programme d'un site douteux.

Règles utiles :

• ne pas ouvrir de pièces jointes inattendues ;
• vérifier l'adresse de l'expéditeur ;
• ne pas activer de macros dans des documents sans nécessité ;
• télécharger des programmes depuis des sites officiels ;
• ne pas utiliser de logiciels piratés ;
• rapporter les courriels suspects à l'administrateur ;
• ne pas ignorer les avertissements de l'antivirus.

Questions fréquentes sur le virus ransomware

Peut-on guérir un ordinateur d'un virus ransomware sans perte de données

Parfois, c'est possible, s'il existe une sauvegarde propre, si des copies d'ombre ont été conservées ou si un déchiffreur gratuit est disponible pour un ransomware spécifique. Mais la suppression du virus ne garantit pas le décryptage des fichiers.

L'antivirus a supprimé le ransomware, pourquoi les fichiers ne s'ouvrent-ils pas

Parce que l'antivirus supprime le logiciel malveillant, mais les fichiers restent chiffrés. L'accès à ces fichiers nécessite une clé de décryptage, une sauvegarde ou une autre méthode de récupération.

Faut-il débrancher l’ordinateur de l'alimentation

Commencez par déconnecter le réseau. L'arrêt complet aide parfois à arrêter le chiffrement, mais peut nuire à la collecte de données pour l'analyse. Si les données sont critiques, il est préférable d'isoler l'appareil et de consulter un spécialiste.

Est-il possible de déchiffrer des fichiers en ligne

Certains services aident à identifier le type de ransomware et indiquent s'il existe un déchiffreur. Mais n'uploadez pas de documents confidentiels sur des sites inconnus. Utilisez uniquement des ressources dignes de confiance.

La restauration du système Windows aidera-t-elle

La restauration du système peut ramener certaines configurations, mais ne déchiffre généralement pas les fichiers personnels. De plus, de nombreux ransomwares suppriment les points de restauration. Cela ne peut être essayé qu'après avoir sauvegardé les données chiffrées.

Pourquoi ne pas connecter immédiatement le disque de sauvegarde

Si le ransomware est actif, il peut chiffrer le disque connecté. Il faut d'abord nettoyer ou réinstaller le système, puis vérifier le support et seulement après cela, récupérer les données.

Que faire si des fichiers dans le cloud sont chiffrés

Déconnectez la synchronisation sur l'ordinateur infecté. Ensuite, connectez-vous au cloud depuis un appareil propre et vérifiez l'historique des versions, la corbeille et la fonction de restauration en masse. De nombreux services permettent de ramener des fichiers à l'état antérieur à l'attaque.

Liste de contrôle succincte des actions

S'il y a peu de temps, utilisez cette liste :

1. Déconnectez l'ordinateur d'Internet et du réseau local.
2. Ne branchez pas de clés USB et de disques de sauvegarde.
3. Prenez une photo du message de rançon.
4. Conservez des copies du message et des fichiers chiffrés.
5. Vérifiez le système avec un antivirus de démarrage.
6. Supprimez les menaces trouvées ou réinstallez Windows.
7. Changez les mots de passe depuis un appareil propre.
8. Vérifiez les sauvegardes, copies d'ombre et versions cloud.
9. Recherchez un déchiffreur uniquement sur des ressources officielles.
10. Configurez la protection et des sauvegardes régulières.

Conclusion

Pour guérir un ordinateur d'un virus ransomware, suivez cet ordre : isolez l'appareil, conservez les preuves, supprimez le logiciel malveillant avec un outil fiable et ensuite, récupérez les fichiers. Ne payez pas la rançon à la hâte et n'exécutez pas de déchiffreurs douteux. Si les données sont importantes, faites une copie du disque et consultez un spécialiste. Après la récupération, configurez les mises à jour, la protection de l'accès à distance et la sauvegarde pour qu'une prochaine attaque ne devienne pas une catastrophe.