Après un piratage ou un ransomware : se rétablir sans être recontaminé

Module 8: Quand les choses tournent mal · Temps de lecture : 11 minutes

Objectif pédagogique : après cette leçon, vous saurez traverser la phase de rétablissement après un piratage ou un ransomware : contenir, comprendre comment c'est arrivé, restaurer proprement, porter plainte, communiquer et en tirer les leçons.

Notions clés : contention, isolement, accès initial, persistance, enquête technique (forensic), réinstallation propre, ordre de rétablissement, plainte, No More Ransom, rançon, cyberassurance, évaluation

La plus grande erreur : « tout restaurer » trop vite

Un développeur web reçoit un mardi une alerte : le site WordPress d'un client redirige les visiteurs vers une fausse boutique. Il restaure la sauvegarde de la semaine précédente, le site refonctionne, terminé. Jeudi, rebelote. L'attaquant était entré via une extension obsolète et avait laissé un compte administrateur supplémentaire ainsi qu'un fichier caché. La sauvegarde de la semaine précédente les contenait déjà. Restaurer sans savoir comment quelqu'un est entré revient à laisser la porte ouverte.

La même chose se produit avec un ransomware dans un réseau de bureau. Les criminels sont souvent déjà présents depuis des jours, voire des semaines, avant de chiffrer les données. Pendant ce temps, ils créent des comptes supplémentaires, installent des logiciels d'accès à distance et recherchent les sauvegardes. Celui qui se contente de restaurer les fichiers chiffrés garde l'attaquant à l'intérieur.

Le rétablissement se déroule donc en cinq étapes, dans cet ordre.

Étape 1 : contenir

Contenir signifie : veiller à ce que la situation n'empire pas. Les premières minutes figurent sur votre fiche d'incident (leçon 8.1).

• Isolez les appareils touchés : débranchez le câble réseau, désactivez le wifi et le réseau mobile, ou passez en mode avion. L'ANSSI recommande de déconnecter les systèmes touchés plutôt que de les éteindre ; la mise en veille est acceptable. Cela permet de conserver les traces en mémoire vive et d'arrêter la propagation.
• Déconnectez les disques externes et les supports de sauvegarde et ne les branchez pas sur un appareil potentiellement infecté.
• Si vous ne pouvez pas isoler un système, coupez alors la connexion au disque réseau. Si tout le réseau est touché, coupez-le d'internet (par exemple en désactivant la connexion internet ou le pare-feu).
• Modifiez les mots de passe depuis un appareil sain, en commençant par les plus importants : comptes administrateurs, messagerie, gestionnaire de mots de passe, banque. Déconnectez toutes les sessions partout. Ne faites pas cela depuis un ordinateur potentiellement contaminé par un infostealer ou un enregistreur de frappe (leçon 1.4), car vous transmettriez alors directement le nouveau mot de passe à l'attaquant.
• Conservez les preuves : photo du message de rançon, les e-mails, les demandes de paiement, les adresses crypto, les horodatages. Ne jetez rien.

Pour un site web piraté, contenir signifie : mettre temporairement le site hors ligne ou en mode maintenance, modifier tous les mots de passe (administration, FTP, base de données, hébergement) et faire appel à votre hébergeur.

Étape 2 : comprendre ce qui s'est passé

Vous voulez savoir trois choses :

1. Comment sont-ils entrés ? L'accès initial : un e-mail de phishing, un mot de passe volé sans 2FA, un serveur VPN ou une extension obsolète, une connexion d'accès à distance laissée ouverte.
2. Qu'ont-ils laissé derrière eux ? La persistance : des comptes supplémentaires, des tâches planifiées, des logiciels d'accès à distance, des règles de transfert dans les boîtes mail, des fichiers supplémentaires sur le serveur web.
3. Qu'ont-ils emporté ? Avec les ransomwares modernes, les criminels copient souvent d'abord les données et menacent de les publier (double extorsion, leçon 1.3). Vous êtes alors aussi confronté à une violation de données (leçon 8.2).

Pour une petite entreprise, cela se fait rarement seul. Faites appel à votre prestataire informatique ou à une entreprise spécialisée en réponse à incident. De nombreuses cyberassurances disposent d'un numéro dédié pour une telle équipe. Demandez à un prestataire externe quelle expérience il a de ce type d'incident et convenez à l'avance du périmètre de l'enquête.

Pour un site web, le journal des accès et le journal d'erreurs du serveur web, une analyse antimalware des fichiers et une comparaison avec une copie saine du CMS et des extensions sont utiles.

Étape 3 : restaurer proprement

Commencez le rétablissement uniquement une fois que vous savez comment l'attaquant est entré et que cette faille est refermée.

Restaurez dans l'ordre que vous avez défini dans votre plan (leçons 8.1 et 6.3) : en priorité ce dont l'entreprise a besoin pour continuer à fonctionner. Gardez la partie restaurée séparée de ce qui n'a pas encore été vérifié.

C'est à ce moment que vous découvrez si votre sauvegarde est fiable. Une sauvegarde connectée au réseau est souvent elle aussi chiffrée ou effacée. Une sauvegarde hors ligne ou immuable (leçon 6.2) et une procédure de restauration testée (leçon 6.3) font la différence entre quelques jours et plusieurs semaines d'arrêt.

Étape 4 : plainte, signalement et rançon

Plainte. Portez plainte auprès de la police ou de la gendarmerie, https://www.masecurite.interieur.gouv.fr/. Apportez les preuves (message de rançon, e-mails, données de paiement). Pour les contenus illicites en ligne, signalez-les via Pharos, https://www.internet-signalement.gouv.fr/. Porter plainte est nécessaire pour l'enquête, aide les autorités à établir des liens, et les assureurs le demandent souvent.

No More Ransom. Sur https://www.nomoreransom.org (une initiative notamment d'Europol et de la police néerlandaise), vous pouvez faire identifier un fichier chiffré ou le message de rançon. Pour certaines familles de ransomware, un déchiffreur gratuit existe. Pas pour la plupart des variantes récentes, mais la vérification prend peu de temps.

Signalement. Vérifiez quels signalements sont nécessaires : une violation de données à notifier à la CNIL dans les 72 heures (leçon 8.2), un incident important à signaler à l'autorité compétente (en France l'ANSSI) si vous relevez de la transposition française de NIS 2 (leçon 9.1), et ce que vous avez convenu avec vos clients ou donneurs d'ordre.

Rançon. L'ANSSI recommande de ne pas payer de rançon, la position des forces de l'ordre est « il est préférable de ne pas payer ». Les raisons :

• Vous n'avez aucune garantie d'obtenir une clé fonctionnelle, ni que les données ne seront pas publiées malgré tout.
• Les données récupérées peuvent être endommagées ou modifiées.
• Celui qui paie est repéré comme quelqu'un qui paie. Les victimes sont parfois rançonnées à nouveau ou attaquées de nouveau plus tard.
• Vous financez la prochaine attaque.

Si vous envisagez quand même de payer, ou si vous avez payé, signalez-le toujours à la police ou à la gendarmerie : les données de paiement peuvent aider l'enquête. Cette décision revient au décideur désigné dans votre plan d'incident, pas à la personne qui voit le message en premier.

Cyberassurance. Une cyberassurance peut couvrir les frais d'enquête, de rétablissement et les pertes d'exploitation, et donne souvent accès à une équipe de réponse à incident. Lisez les conditions : de nombreux contrats exigent des mesures de base comme la 2FA et les sauvegardes, et demandent une notification rapide. Selon les analyses de Cybermalveillance.gouv.fr portant sur des centaines d'incidents de ransomware touchant des PME, les attaquants recherchent après leur intrusion des fichiers portant des noms comme « assurance » ou « police d'assurance » pour renforcer leur position de négociation. Vérifiez donc à quel point un intrus trouverait facilement votre contrat, et évitez de préférence de le conserver sur un disque partagé. Une assurance ne remplace pas des mesures de sécurité : elle paie les dégâts, mais ne les évite pas.

Étape 5 : communiquer et en tirer les leçons

Laissez la personne chargée de la communication dans votre plan raconter une seule histoire claire au personnel, aux clients et aux fournisseurs : ce qui s'est passé, ce que cela signifie pour eux, ce qu'ils doivent faire (par exemple : soyez attentifs aux e-mails qui semblent venir de nous), et quand ils auront de vos nouvelles. Être honnête et rapide fonctionne mieux que de se taire jusqu'à ce que cela s'ébruite.

Planifiez une évaluation dans les quelques semaines qui suivent : qu'est-ce qui a bien fonctionné, qu'est-ce qui a mal tourné, que changez-vous ? Presque toujours, les mêmes points ressortent : la 2FA manquait quelque part, un système n'était pas à jour, la sauvegarde n'avait pas été testée, ou personne ne savait qui était habilité à décider. Inscrivez ces points dans votre plan issu de la leçon 9.3, avec un responsable et une date.

En pratique : à quoi cela ressemble

Pour un site web piraté hébergé sur un forfait d'hébergement, vous travaillez souvent avec les outils de votre hébergeur. Chez WebOké, il s'agit par exemple d'une analyse antimalware (Imunify360), des fichiers journaux dans DirectAdmin, de la restauration d'une sauvegarde depuis WebOké Backups et d'une procédure détaillée dans le guide DirectAdmin. Chez d'autres hébergeurs, des outils comparables existent ; demandez à votre fournisseur ce qui est disponible et jusqu'à quelle ancienneté remontent les sauvegardes, avant d'en avoir besoin.

Résumé

• Rétablissement en cinq étapes : contenir, enquêter, restaurer proprement, porter plainte et signaler, communiquer et en tirer les leçons.
• Isolez, n'éteignez pas, et ne changez les mots de passe que depuis un appareil sain.
• Ne restaurez rien avant de savoir comment l'attaquant est entré ; sinon vous laissez la porte ouverte.
• Réinstallez entièrement les appareils contaminés et restaurez à partir d'une sauvegarde antérieure à l'intrusion.
• Portez plainte, consultez No More Ransom, et évitez de préférence de payer une rançon.

Quiz

Exercice

Exercice A8.3 : Remettez les étapes du rétablissement dans le bon ordre. Vous recevez un cas pratique et dix étapes isolées (par exemple « restaurer la sauvegarde », « débrancher le câble réseau », « vérifier comment l'attaquant est entré », « porter plainte »). Remettez-les dans le bon ordre. Le programme vérifie si les règles d'ordre fixes sont respectées (par exemple : isoler avant de restaurer, trouver la cause avant de restaurer, réinstaller avant de restaurer les données) et explique pour chaque erreur pourquoi.

Pour aller plus loin

Les étapes décrites dans les articles de WebOké s'appliquent à l'environnement de WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.

• Guide DirectAdmin 18.2: Mon site est piraté : plan d'action
• Au secours ! Mon site a été piraté. Comment résoudre ou éviter ce problème ?
• Scanner Imunify360
• WebOké Backups : consulter, restaurer ou télécharger une sauvegarde
• ANSSI, que faire en cas d'attaque par rançongiciel : https://cyber.gouv.fr/la-directive-nis-2
• Cybermalveillance.gouv.fr, ressources et conseils pour les entreprises : https://www.cybermalveillance.gouv.fr/
• No More Ransom : https://www.nomoreransom.org/fr/index.html