Un ransomware a chiffré tous les serveurs de la boîte cette nuit, que faire exactement dans les premières heures ?

Débranchez immédiatement les câbles Ethernet de tous les postes du bureau et coupez le Wi-Fi. Ne débranchez pas les machines infectées de la prise de courant : isolez uniquement la connexion réseau. Éteindre complètement un ordinateur peut détruire les clés de déchiffrement temporaires présentes en mémoire RAM ainsi que les preuves médico-légales (forensics).

Copiez un ou deux échantillons de fichiers chiffrés ainsi que la note de rançon sur une clé USB propre pour les analyser depuis une machine isolée. Il faut impérativement identifier la variante du malware. Sur certaines versions anciennes, la clé symétrique reste en mémoire ou des chercheurs en sécurité ont déjà publié des clés de déchiffrement publiques.

Ceux qui pensent récupérer leurs fichiers en payant la rançon tombent généralement de très haut. Une boîte de logistique à Madrid s'est retrouvée dans le même cas et a payé 30.000 euro : le décrypteur fourni a corrompu la moitié des fichiers, et deux semaines plus tard, ils sont revenus par la même faille pour réclamer encore de l'argent. Ne payez surtout pas.

L'année dernière, notre espace de stockage a été bloqué par une attaque similaire. On a payé 5.500 euro à un expert indépendant en réponse aux incidents. On avait une sauvegarde hors ligne sur bande datant de deux semaines plus tôt, on est reparti de là et on a ressaisi les factures manquantes à la main. Au total, on a été bloqués 4 jours, mais on n'a pas lâché un seul centime aux pirates.

Vous avez une idée de la façon dont les attaquants sont entrés ? Il y avait un port RDP (bureau à distance) ouvert sur l'extérieur ou bien un employé a ouvert une pièce jointe dans un mail ? Vous n'avez pas une autre sauvegarde totalement isolée du réseau ou dans le cloud avec un historique des versions ?

Veillez à bien respecter les délais pour la notification auprès de l'Agence espagnole de protection des données (AEPD). Même si l'analyse technique n'est pas terminée dans le délai des 72 heures, la notification initiale doit être effectuée ; un rapport complémentaire pourra être ajouté au dossier dès que l'ampleur des dégâts et le nombre de données compromises seront précisés.

vraiment désolé pour ce qui vous arrive je connais trop bien ce sentiment d'impuissance quand on arrive le matin et qu'on tombe sur cet écran puis dties à votre équipe de ne pas paniquer rassurez les clients en prétextant une maintenance technique et essayez de trouver une aide professionnelle au plus vite.

Si vous avez débranché les câbles réseau, ne formatez surtout rien et faites immédiatement appel à un consultant professionnel en réponse aux incidents cyber.

Ma question va paraître un peu novice, désolé d'avance. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Je suis passé par là, laissez-moi vous raconter. Essayer de faire cela seul est la voie la plus coûteuse.

À votre place, j'irais par cette voie.

Je me permets une petite mise en garde. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Bon courage.

Vous avez raison.

Il y a une erreur fréquente à commettre en faisant cela. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Je suis aussi curieux de savoir si d'autres font autrement.

Mon regard a changé après avoir vécu cela. La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine. Je le note au cas où.

Nous avons aussi bloqué au même endroit à une époque. Les décisions hâtives finissent par être corrigées six mois plus tard.

J'espère que cela vous sera utile.

Merci de partager le résultat. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Je suis aussi curieux de savoir si d'autres font autrement.

Je me pose aussi la question.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. Quand on décide sans mesurer, on revient toujours au même point.

C'est confirmé par l'expérience.