Comment répondre à une attaque par rançongiciel : guide étape par étape

1Introduction

Une attaque par rançongiciel est le moment le plus visible d’une intrusion qui a généralement commencé des jours ou des semaines plus tôt. Lorsque les fichiers sont chiffrés, l’attaquant a en général déjà pris pied, volé des identifiants, circulé sur le réseau, supprimé ou chiffré les sauvegardes et copié des données. Bien répondre consiste à arrêter les dégâts sans détruire les preuves nécessaires pour comprendre comment il est entré, puis à reprendre l’activité sans le laisser revenir aussitôt.

Ce guide suit l’ordre d’une vraie réponse : la première heure, le confinement, les preuves, la délimitation, les décisions réservées à la direction, l’éradication, la reprise et le durcissement. Il suppose un parc Windows et Active Directory, cible de la plupart des rançongiciels, avec des notes pour Linux et VMware ESXi. Pour plus de détails forensiques, associez-le à nos guides de triage Windows et Linux.

2La première heure

La première heure détermine l’issue. Les décisions prises dans la panique, comme redémarrer les serveurs, restaurer immédiatement les sauvegardes ou effacer les machines, sont les causes les plus courantes d’aggravation d’un rançongiciel ou d’une enquête impossible.

1. Isolez, n’éteignez pas. Débranchez les câbles réseau, désactivez le Wi-Fi ou utilisez l’isolation réseau de l’EDR. La mémoire d’un hôte en marche peut contenir des clés de chiffrement, les outils de l’attaquant et des lignes de commande qui disparaissent au redémarrage.
2. Arrêtez la propagation au niveau du réseau. Bloquez SMB (445), RDP (3389), WinRM (5985 et 5986) et RPC entre les segments, et coupez les tunnels VPN site à site vers les autres bureaux s’ils ne sont pas encore touchés.
3. Protégez les sauvegardes. Déconnectez les serveurs et dépôts de sauvegarde du réseau du domaine, révoquez le compte de service de sauvegarde et vérifiez que les copies immuables ou hors ligne sont intactes avant toute restauration.
4. Passez les communications hors bande. Supposez que la messagerie, Teams, Slack et le domaine sont surveillés. Utilisez le téléphone, Signal ou un tenant séparé pour l’équipe de réponse.
5. Ouvrez un journal d’incident en UTC : qui a fait quoi, quand et sur quel hôte. Les régulateurs, assureurs et avocats s’y appuieront plus tard.
6. Activez le plan de réponse à incident et appelez les personnes concernées : prestataire de réponse à incident, cyberassureur (de nombreuses polices exigent d’être prévenu avant toute dépense), conseil juridique et direction.
7. Conservez la demande de rançon, quelques fichiers chiffrés et leurs originaux si vous les avez, ainsi que des captures de tout ce qui paraît anormal à l’écran.

3Reconnaître ce à quoi vous faites face

Le chiffrement est la dernière étape. De nombreuses attaques sont stoppées plus tôt parce que les défenseurs ont remarqué la préparation. Si vous voyez les signes précurseurs ci-dessous, traitez-les comme un rançongiciel en cours et contenez immédiatement, même avant tout chiffrement de fichier.

4Contenir l’attaque

Le confinement fait gagner du temps. Choisissez l’option la moins destructrice qui arrête de façon fiable la propagation, et élargissez si le chiffrement continue. L’isolation réseau avec l’hôte allumé est presque toujours la bonne première action.

netsh advfirewall set allprofiles state on
netsh advfirewall set allprofiles firewallpolicy blockinbound,blockoutbound
netsh advfirewall firewall add rule name="IR allow console" dir=out action=allow remoteip=10.10.5.20
netsh advfirewall firewall add rule name="IR allow console in" dir=in action=allow remoteip=10.10.5.20

sudo nft add table inet ir
sudo nft add chain inet ir in '{ type filter hook input priority -10; policy drop; }'
sudo nft add chain inet ir out '{ type filter hook output priority -10; policy drop; }'
sudo nft add rule inet ir in ip saddr 10.10.5.20 accept
sudo nft add rule inet ir out ip daddr 10.10.5.20 accept
sudo nft add rule inet ir in iif lo accept
sudo nft add rule inet ir out oif lo accept

Get-ADGroupMember 'Domain Admins' -Recursive | Select-Object Name, SamAccountName
Get-ADGroupMember 'Enterprise Admins' -Recursive | Select-Object Name, SamAccountName

# Accounts created or changed in the last 14 days
$since = (Get-Date).AddDays(-14)
Get-ADUser -Filter 'whenCreated -gt $since' -Properties whenCreated |
  Select-Object SamAccountName, whenCreated
Get-ADUser -Filter 'whenChanged -gt $since' -Properties whenChanged, MemberOf |
  Select-Object SamAccountName, whenChanged

# Disable an account you have confirmed is compromised
Disable-ADAccount -Identity svc_backup

Get-GPO -All | Sort-Object ModificationTime -Descending |
  Select-Object -First 15 DisplayName, ModificationTime

Get-ChildItem "\\$env:USERDNSDOMAIN\SYSVOL" -Recurse -File |
  Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-7) } |
  Select-Object FullName, LastWriteTime

esxcli system account list
esxcli network ip connection list
esxcli vm process list
ls -la /tmp /var/tmp /vmfs/volumes/*/ | head -50
find /vmfs/volumes/ -mtime -2 -type f | head -50
vim-cmd hostsvc/disable_ssh

5Préserver les preuves

Les preuves répondent aux questions que tout le monde posera : comment sont-ils entrés, qu’ont-ils pris, sont-ils encore là, et devons-nous notifier quelqu’un. Collectez-les avant de nettoyer ou de reconstruire quoi que ce soit, et calculez l’empreinte de tout ce que vous collectez.

.\kape.exe --tsource C: --tdest E:\IR\%m\tout --target KapeTriage --vhdx %m
.\winpmem_mini_x64.exe "E:\IR\$env:COMPUTERNAME\mem.raw"
Get-FileHash E:\IR\$env:COMPUTERNAME\* -Algorithm SHA256 | Export-Csv E:\IR\$env:COMPUTERNAME\hashes.csv -NoTypeInformation

Get-ChildItem C:\ -Recurse -File -Include '*README*.txt','*DECRYPT*','*RESTORE*' -ErrorAction SilentlyContinue |
  Select-Object FullName, CreationTimeUtc | Sort-Object CreationTimeUtc |
  Export-Csv E:\IR\notes.csv -NoTypeInformation

Get-ChildItem D:\Shares -Recurse -File -Filter '*.locked' -ErrorAction SilentlyContinue |
  Sort-Object LastWriteTimeUtc | Select-Object -First 20 FullName, LastWriteTimeUtc

Pour une collecte sur tout le parc, Velociraptor est plus rapide que de visiter les hôtes un par un : les artefacts Windows.KapeFiles.Targets, Windows.EventLogs.Evtx et Windows.System.Pslist couvrent l’essentiel. Sous Linux et ESXi, UAC (Unix-like Artifacts Collector) rassemble en une fois les journaux, les historiques de shell et les données de processus.

6Identifier la famille de rançongiciel

Connaître la famille indique par où elle entre généralement, si elle vole d’abord des données, si un déchiffreur gratuit existe et ce que fait le groupe en cas de non-paiement. Partez de la demande de rançon, de l’extension des fichiers et des coordonnées ou de l’adresse du site de fuite qu’elle contient.

• ID Ransomware identifie la famille à partir de la demande et d’un fichier chiffré d’exemple.
• Le projet No More Ransom recense les déchiffreurs gratuits publiés par les forces de l’ordre et les éditeurs de sécurité.
• Les rapports de renseignement et votre prestataire de réponse connaîtront les points d’entrée, les outils et le comportement de négociation habituels du groupe.
• Consultez le site de fuite du groupe, via votre prestataire ou un service de renseignement, pour voir si votre organisation y figure.

7Délimiter l’intrusion

La délimitation répond à quatre questions : comment l’attaquant est entré, quels comptes il contrôle, quels systèmes il a touchés et quelles données ont quitté le réseau. Ne commencez pas à reconstruire avant de pouvoir répondre aux deux premières, sinon l’attaquant reviendra par la même porte.

$start = (Get-Date).AddDays(-30)

# Services installed (PsExec, remote admin tools, encryptor deployment)
Get-WinEvent -FilterHashtable @{LogName='System'; Id=7045; StartTime=$start} |
  Select-Object TimeCreated, @{n='Service';e={$_.Properties[0].Value}}, @{n='Path';e={$_.Properties[1].Value}}

# RDP logons (type 10) and new accounts
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=$start} |
  Where-Object { $_.Properties[8].Value -eq 10 } |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='Source';e={$_.Properties[18].Value}}
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720; StartTime=$start}

# Security log cleared
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102} -ErrorAction SilentlyContinue

hayabusa csv-timeline -d E:\IR\evtx -o E:\IR\hayabusa.csv -p verbose -U -w
hayabusa logon-summary -d E:\IR\evtx -o E:\IR\logons.csv

Get-ChildItem C:\Windows\Prefetch -Filter '*.pf' |
  Where-Object { $_.Name -match '^(RCLONE|MEGASYNC|WINSCP|RESTIC|FILEZILLA)' } |
  Select-Object Name, LastWriteTime

Get-ChildItem C:\Users -Recurse -Force -Filter 'rclone.conf' -ErrorAction SilentlyContinue |
  Select-Object FullName, LastWriteTime

# Large archives staged in the last 30 days
Get-ChildItem C:\, D:\ -Recurse -File -Include '*.zip','*.7z','*.rar' -ErrorAction SilentlyContinue |
  Where-Object { $_.Length -gt 500MB -and $_.LastWriteTime -gt (Get-Date).AddDays(-30) } |
  Select-Object FullName, Length, LastWriteTime

8Les décisions de la direction

Certains choix ne sont pas techniques : payer ou non, quand notifier et quel temps d’arrêt l’entreprise peut accepter. La direction doit les prendre sur la base de preuves, avec le conseil juridique et l’assureur, et le responsable d’incident doit noter chaque décision et ses raisons.

9Communiquer clairement

Le silence alimente les rumeurs, et les attaquants contactent de plus en plus directement le personnel, les clients et les journalistes pour accroître la pression. Une mise à jour courte, factuelle et régulière vaut mieux qu’une déclaration parfaite qui arrive trop tard.

• Personnel : ce qui s’est passé, ce qu’il ne faut pas faire (pas de contournement par messagerie personnelle, pas de contact avec la presse), comment obtenir des nouvelles et qui appeler.
• Clients et partenaires : ce qui est touché, ce que vous faites, si leurs données sont concernées à votre connaissance et quand vous les tiendrez informés.
• Presse et public : un seul porte-parole, un seul message d’attente, approuvé par le conseil juridique.
• Ne confirmez jamais des détails non vérifiés et ne spéculez jamais sur l’attaquant.

“Nous répondons à un incident de cybersécurité qui a touché certains de nos systèmes. Nous avons isolé les systèmes concernés, fait appel à des spécialistes de la réponse à incident et informé les autorités compétentes. Notre enquête se poursuit et nous partagerons davantage d’informations dès que possible.”

Un modèle de message d’attente

10Éradiquer l’attaquant

L’éradication doit se faire en une seule action coordonnée, après la délimitation et avant la restauration de la production. Supprimez chaque point d’ancrage trouvé, réinitialisez tous les identifiants que l’attaquant a pu voir et fermez la porte par laquelle il est entré.

1. Fermez la voie d’accès initial : corrigez ou remplacez le VPN ou le pare-feu vulnérable, imposez la MFA, supprimez le RDP exposé.
2. Supprimez la persistance sur chaque hôte identifié : tâches planifiées, services, clés Run, abonnements WMI, nouveaux comptes locaux et de domaine, outils de gestion à distance, GPO malveillantes.
3. Balayez tout le parc avec les indicateurs trouvés, pas seulement les hôtes examinés. L’EDR, Velociraptor ou une analyse YARA trouve les machines que personne n’a regardées.
4. Réinitialisez les identifiants dans l’ordre : administrateurs de domaine et d’entreprise, comptes de service et de sauvegarde, puis tous les utilisateurs. Changez deux fois le mot de passe krbtgt, en attendant la réplication complète entre les deux (Microsoft publie un script pour cela).
5. Changez tout ce qui a pu fuiter : mots de passe d’administrateur local (déployez Windows LAPS si ce n’est pas fait), clés d’API, clés d’accès cloud, certificats VPN, clés Wi-Fi, secrets dans les scripts et fichiers de configuration.
6. Révoquez les sessions et les jetons dans Entra ID ou Google Workspace, et examinez les consentements d’applications OAuth ajoutés pendant l’incident.

.\autorunsc64.exe -accepteula -a * -c -h -s -m -vt > E:\IR\$env:COMPUTERNAME-autoruns.csv

Get-ScheduledTask | Where-Object { $_.Date -gt (Get-Date).AddDays(-30) } |
  Select-Object TaskPath, TaskName, Date, @{n='Action';e={$_.Actions.Execute}}

Get-CimInstance Win32_Service |
  Where-Object { $_.PathName -match '\\Users\\|\\ProgramData\\|\\Temp\\' } |
  Select-Object Name, PathName, StartMode

Get-LocalGroupMember Administrators

11Reprendre dans le bon ordre

Restaurez d’abord dans un réseau isolé et sain, vérifiez, puis seulement reconnectez. Remettez les systèmes en service dans l’ordre des dépendances, pour que chaque couche puisse se fier à la précédente.

• Choisissez des points de restauration antérieurs à la date d’accès initial, pas seulement au chiffrement. Les outils de l’attaquant peuvent se trouver dans les sauvegardes de la période de présence.
• Analysez les systèmes restaurés avec un antivirus à jour et vos règles YARA avant de les reconnecter.
• Réinstallez les appareils des utilisateurs à partir d’une image saine. Le nettoyage manque ce que vous n’avez pas trouvé.
• Gardez une surveillance renforcée pendant au moins 30 jours, en recherchant les mêmes indicateurs, comptes et techniques.

restic -r s3:https://s3.example.com/backups/fileserver snapshots
restic -r s3:https://s3.example.com/backups/fileserver check --read-data-subset=10%
restic -r s3:https://s3.example.com/backups/fileserver restore 4f1a2b3c --target /restore/fileserver --verify

12Durcir pour éviter que cela se reproduise

La revue après incident doit aboutir à des actions financées, et pas seulement à des constats. Ces contrôles arrêtent ou limitent la plupart des attaques par rançongiciel actuelles.

13Liste de contrôle de la réponse au rançongiciel

1. Isolez les hôtes touchés et laissez-les allumés.
2. Bloquez SMB, RDP et WinRM entre les segments ; coupez les liens vers les sites non touchés.
3. Déconnectez et protégez les sauvegardes ; confirmez que les copies hors ligne sont intactes.
4. Passez l’équipe de réponse sur une communication hors bande et ouvrez un journal d’incident en UTC.
5. Appelez le prestataire de réponse, l’assureur et le conseil juridique.
6. Exportez les journaux de pare-feu, de VPN, de cloud et d’EDR avant qu’ils ne soient écrasés.
7. Capturez la mémoire et des images de triage des hôtes clés ; calculez toutes les empreintes.
8. Identifiez la famille de rançongiciel et recherchez un déchiffreur gratuit.
9. Trouvez la voie d’accès initial, les comptes compromis et tout vol de données.
10. Recensez les obligations de notification et signalez aux autorités.
11. Éradiquez en une seule action : fermez le point d’entrée, supprimez la persistance, réinitialisez les identifiants, changez krbtgt deux fois.
12. Restaurez dans l’ordre des dépendances, dans un réseau sain, à partir de sauvegardes antérieures à l’intrusion.
13. Surveillez de près pendant 30 jours, puis menez la revue et financez les corrections.

14Conclusion

L’issue d’une attaque par rançongiciel dépend beaucoup de l’ordre de vos actions. Contenez l’attaque en laissant les hôtes allumés, préservez les preuves, découvrez comment l’attaquant est entré et ce qu’il a pris, et supprimez ses accès avant de restaurer quoi que ce soit. Restaurer trop tôt peut signifier être chiffré à nouveau. Ensuite, corrigez les faiblesses révélées par l’attaque et entraînez-vous à ce guide avant d’en avoir de nouveau besoin.