Attaque de ransomware : ce qu'il ne faut SURTOUT PAS faire les premières minutes — les erreurs qui empirent tout

Ne supprimez sous aucun prétexte les snapshots de vos serveurs virtuels et n'écrivez rien par-dessus. Dans la mesure du possible, ne déplacez aucun fichier sur le système d'exploitation tant qu'un expert capable d'effectuer une capture de mémoire vive (memory dump) n'est pas intervenu. Toute modification des attributs de fichiers complique l'identification de la variante du malware.

Le seul réflexe à avoir immédiatement : débranchez à la main les câbles réseau à l'arrière de tous les PC qu'ils soient touchés ou non puis coupez la box/modem du bureau et les bornes Wi-Fi. Isolez totalement le réseau mais laissez les machines allumées.

L'an dernier, sur un incident similaire, un de nos clients a redémarré le serveur sous le coup de la panique et a perdu la clé de chiffrement restée en mémoire vive. Le laboratoire de récupération a indiqué dans son rapport qu'il y avait 70 % de chances d'extraire la clé de la RAM si la machine était restée allumée.

la pire erreur cest de brancher direct le disque externe qu'on croit clean sur le serveur pour vérifier le backup, si le malware tourne en fond il va chiffrer la sauvegarde instant et vous aurez plus rien du tout

Conformément au Règlement Général sur la Protection des Données de l'Union européenne, en cas de risque de fuite de données personnelles, une notification auprès de l'autorité compétente dans les 72 heures suivant la prise de connaissance de l'incident constitue une obligation légale. Conservez rigoureusement les historiques de communication et les journaux système.

N'écoutez pas ceux qui suggèrent de payer la rançon. Même en payant vous n'avez absolument aucune garantie d'obtenir la clé ni que le système refonctionnera. Sans compter que vous resterez fichés comme une cible facile par les cybercriminels.

Les trois interdits absolus pendant la première demi-heure : 1) Ne redémarrez pas les serveurs et ne coupez pas le courant, 2) Ne connectez pas vos sauvegardes saines au réseau ou aux machines, 3) N'entamez aucun échange avec l'attaquant via l'e-mail ou le lien de la note.

Bon courage c'est une situation ultra stressante mais si vous avancez sans paniquer il y a de bonnes chances de s'en sortir. À l'arrivée de votre prestataire, laissez-le intervenir uniquement sur les machines isolées du réseau : garder son calme reste la règle d'or pour réussir la récupération.

Enregistré. Essayer de faire cela seul est la voie la plus coûteuse.

La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

je ne savais pas ça.

Mon regard a changé après avoir vécu cela. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Bien sûr, cela change si votre situation est différente.

Trois avis différents sont sortis ils se complètent tous. du coup le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Je suis aussi curieux de savoir si d'autres font autrement.

En regardant le processus, le tableau change. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Je le note au cas où.

Sujet très actuel. Si c'est une première, commencez petit l'échelle viendra plus tard.

Je le note au cas où.

trois avis différents sont sortis, ils se complètent tous. bref quand on décide sans mesurer, on revient toujours au même point.

Ce sujet est archivé.

je vais raconter ce qui m'est arrivé ça pourrait vous servir. les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

je le note au cas où.

résmé rapide pour les nouveaux : Essayer de faire cela seul est la voie la plus coûteuse.

si c'est une première, comencez petit l'échelle viendra plus tard mais bon courage.