Le premier jour d’une attaque par rançongiciel détermine ce que vous perdez, la durée de la reprise et votre capacité à expliquer ensuite ce qui s’est passé. Le réflexe est de tout éteindre et de commencer à restaurer. Ralentissez juste assez pour contenir l’attaque sans détruire les preuves dont vous aurez besoin.
Heure 0 à 1 : contenir sans détruire les preuves
Déconnectez les systèmes touchés du réseau : débranchez le câble, désactivez le Wi-Fi, coupez le port du commutateur ou utilisez la fonction d’isolement de votre outil de protection des postes. Si plusieurs systèmes ou des sous-réseaux entiers semblent touchés, isolez au niveau des commutateurs plutôt que machine par machine.
N’éteignez pas les machines, sauf si vous ne pouvez pas les déconnecter. Le guide #StopRansomware de la CISA présente l’arrêt comme une solution de repli pour les appareils qui ne peuvent pas être retirés du réseau, car l’arrêt détruit les preuves présentes en mémoire. N’effacez pas, ne réinstallez pas et ne lancez pas non plus d’outils de nettoyage pour l’instant.
Laissez la demande de rançon et les fichiers chiffrés en place. Photographiez les écrans qui affichent la demande de rançon.
Communiquez par un autre canal
Partez du principe que l’attaquant peut lire vos e-mails et votre messagerie instantanée. La CISA recommande des moyens hors bande, comme les appels téléphoniques, pour coordonner la réponse sans l’alerter. Mettez en place une conférence téléphonique ou un groupe de messagerie sur des appareils qui ne faisaient pas partie de l’environnement touché.
Désignez un responsable unique de l’incident. Ouvrez une main courante horodatée qui consigne chaque décision et chaque action. Vous en aurez besoin pour les autorités, les assureurs et votre propre retour d’expérience.
Préservez les preuves
Avant de reconstruire quoi que ce soit, collectez ce dont l’investigation aura besoin :
- une image disque et une capture de la mémoire d’un échantillon de machines touchées, comme le recommande la CISA
- les journaux des pare-feu, du VPN, de la protection des postes, des contrôleurs de domaine, de la messagerie et des services cloud
- la demande de rançon, quelques fichiers chiffrés et l’extension de fichier ajoutée par le logiciel malveillant
Les journaux des systèmes touchés ont pu être modifiés ou supprimés. Le Comité européen de la protection des données (CEPD) prévient qu’une entrée de journal manquante ne prouve pas que des données n’ont pas été exfiltrées, et recommande de transférer les journaux vers un serveur central. Exportez ce que vous avez avant que les règles de conservation ne l’écrasent.
Déterminez l’étendue de l’attaque
Les fichiers chiffrés montrent où l’attaque s’est terminée, pas où elle a commencé. La CISA conseille de rechercher les logiciels malveillants des premières étapes et les signes de vol de données. Essayez de répondre à quatre questions :
- Quels systèmes et quelles données sont chiffrés ou touchés ?
- Quels comptes l’attaquant a-t-il utilisés ? Cherchez les nouveaux comptes, les comptes dont les privilèges ont été récemment élevés et toute activité inhabituelle des administrateurs.
- Comment est-il entré ? Vérifiez par exemple les accès à distance sans authentification multifacteur, les systèmes exposés à Internet non corrigés et les e-mails d’hameçonnage récents.
- Des données ont-elles été copiées vers l’extérieur ? Examinez les journaux des pare-feu et des proxys à la recherche de transferts sortants volumineux.
La dernière question conditionne une grande partie de votre situation juridique : tant que vous ne pouvez pas l’exclure, considérez toute incertitude comme un « oui, peut-être ».
Réinitialisez les identifiants dans le bon ordre
Partez du principe que tout identifiant utilisé ou stocké sur un système touché est connu de l’attaquant. Réinitialisez depuis un appareil sain, jamais depuis une machine du réseau touché.
Réinitialiser alors que l’attaquant dispose encore d’un point d’ancrage peut tout simplement lui livrer les nouveaux mots de passe. La liste de contrôle de la CISA place la réinitialisation complète après le nettoyage et la reconstruction de l’environnement. Il peut toutefois être nécessaire de réinitialiser en urgence, plus tôt, les comptes les plus puissants pour couper les accès. Convenez de l’ordre avec les intervenants. Une séquence raisonnable est la suivante :
- Les administrateurs du domaine et des identités cloud, ainsi que les comptes d’urgence (break-glass)
- Les administrateurs des sauvegardes, des hyperviseurs et du stockage
- Les administrateurs des accès à distance, du VPN et des pare-feu
- Les comptes de service, en particulier ceux qui disposent de droits étendus
- Dans Active Directory, le compte
krbtgt, deux fois. Le guide de restauration de forêt de Microsoft explique pourquoi deux réinitialisations sont nécessaires et combien de temps attendre entre les deux. - Tous les autres utilisateurs, en révoquant les sessions et les jetons existants
Vérifiez vos sauvegardes avant de compter sur elles
La CISA relève que de nombreuses variantes de rançongiciels recherchent les sauvegardes accessibles pour les supprimer ou les chiffrer. Avant de planifier la reprise, vérifiez quelles copies de sauvegarde sont intactes, à quand remonte la dernière copie saine et si vous pouvez la restaurer.
Restaurez d’abord dans un environnement isolé. La CISA prévient que les droppers et autres outils des premières étapes doivent être trouvés avant toute reconstruction à partir des sauvegardes. Sinon, vous risquez de restaurer le problème en même temps que les données.
Les délais légaux et réglementaires
Plusieurs délais peuvent commencer à courir dès que vous avez connaissance de l’incident. Ils courent en parallèle.
| Règle | S’applique lorsque | Délai | À notifier à |
|---|---|---|---|
| Article 33 du RGPD | Des données personnelles sont touchées, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes | Dans les meilleurs délais et, si possible, dans les 72 heures | Autorité de contrôle de la protection des données |
| Article 23 de NIS2 | Vous êtes une entité essentielle ou importante et l’incident est important | Alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois | CSIRT national ou autorité compétente |
| KVKK (Turquie) | Des données personnelles traitées en vertu du droit turc sont touchées | Sans délai, et au plus tard dans les 72 heures | Conseil de protection des données personnelles |
Un rançongiciel constitue généralement une violation de la disponibilité, et souvent aussi de la confidentialité. Dans les exemples commentés du CEPD, une attaque avec une bonne sauvegarde et sans exfiltration peut ne pas nécessiter de notification, mais doit quand même être documentée en interne au titre de l’article 33, paragraphe 5. Une attaque sans sauvegarde exploitable, ou avec vol de données, doit en général être notifiée. Si les personnes concernées sont exposées à un risque élevé, par exemple en cas de vol de pièces d’identité, elles doivent aussi être informées.
Vous n’avez pas besoin de réponses complètes pour respecter ces délais. Les notifications NIS2 sont échelonnées par conception, et l’article 33, paragraphe 4, du RGPD permet de communiquer les informations de manière échelonnée sans autre retard indu. Vérifiez aussi votre contrat d’assurance cyber, qui peut fixer ses propres obligations de déclaration, et portez plainte auprès de la police.
Payer ou ne pas payer
Le NCSC britannique et les forces de l’ordre du Royaume-Uni n’encouragent ni ne cautionnent le paiement. Payer ne garantit pas que vous récupérerez vos données. Vos systèmes resteront infectés, et vous risquez d’être de nouveau ciblé. Le projet No More Ransom, soutenu par Europol et la police néerlandaise, publie des outils de déchiffrement gratuits pour certaines familles de rançongiciels : consultez-le d’abord.
Le paiement peut aussi être illégal. L’Office of Foreign Assets Control (OFAC) du Trésor américain a averti que les paiements de rançon à des personnes sanctionnées peuvent enfreindre les règles américaines en matière de sanctions. Des sanctions civiles peuvent s’appliquer même en l’absence de faute (strict liability). Le règlement (UE) 2019/796 concernant les cyberattaques interdit de mettre des fonds à la disposition des personnes qu’il désigne. Toute décision de paiement revient à la direction, aux conseils juridiques et aux forces de l’ordre, pas à l’équipe informatique en pleine nuit.
Ce qu’il ne faut pas faire
- N’éteignez pas les machines, sauf si vous ne pouvez pas les isoler.
- Ne reconnectez et ne restaurez pas de systèmes avant de savoir comment l’attaquant est entré.
- Ne négociez pas avec l’attaquant et ne lui répondez pas sans l’avis d’experts et de juristes.
- Ne parlez pas de l’incident par la messagerie ou le chat de l’entreprise, qui peuvent être surveillés.
- Ne supprimez rien, pas même la demande de rançon.
Par où commencer, avant que cela n’arrive
- Imprimez votre plan de réponse à incident et votre liste de contacts, et gardez-en des copies hors réseau.
- Convenez à l’avance de qui peut autoriser la mise hors ligne de systèmes.
- Conservez au moins une copie de sauvegarde que des identifiants administrateur ne peuvent pas supprimer, et testez les restaurations.
- Notez dès maintenant vos contacts de notification RGPD, NIS2 et KVKK.
- Prévoyez un prestataire de réponse à incident avant d’en avoir besoin.
Si vous faites face à un incident en ce moment, notre équipe de réponse à incident peut vous aider à le contenir et à suivre ces étapes.
