Ransomware (rançongiciel)

Logiciel malveillant qui chiffre les fichiers d'un système et exige une rançon en échange de la clé de déchiffrement. Les variantes modernes (double extortion) exfiltrent aussi les données pour faire pression par menace de publication.

Chiffrement asymétrique

Méthode de chiffrement utilisant une paire de clés (publique/privée). La clé publique chiffre, la clé privée déchiffre. Les ransomware modernes utilisent RSA-2048 ou supérieur, mathématiquement impossible à casser par force brute.

Shadow Copies (VSS)

Snapshots Windows créés automatiquement par le service Volume Shadow Copy. Permettent la restauration de fichiers à un état antérieur. Les ransomware modernes les suppriment par vssadmin delete shadows, mais des résidus survivent parfois.

Air-gapped backup

Sauvegarde physiquement isolée du réseau, inaccessible aux ransomware. Bandes LTO, disques rotatifs déconnectés, immutable storage. Considérée comme la défense ultime contre la propagation.

Forensique numérique

Discipline d'investigation technique permettant de collecter, analyser et préserver les preuves numériques en respectant la chaîne de conservation (hash MD5/SHA-256, scellés, journal horodaté).

IoC — Indicator of Compromise

Indicateur technique de compromission : hash de fichier malveillant, IP de command & control, nom de domaine de phishing, clé de registre Windows modifiée, mutex spécifique. Permet de détecter et contenir l'attaque.

NIS2 (UE 2022/2555)

Directive européenne sur la cybersécurité applicable aux entités essentielles et importantes depuis octobre 2024. Impose notification d'incident sous 24h (early warning) puis 72h (rapport détaillé), avec sanctions pouvant atteindre 10 M€ ou 2 % du CA mondial.

RGPD article 33

Obligation de notification à la CNIL dans les 72 heures en cas de violation de données personnelles susceptible d'engendrer un risque pour les personnes. Sanctions : jusqu'à 4 % du CA mondial annuel ou 20 M€.

1. 1

   Isoler immédiatement

   Débrancher les machines infectées du réseau (câble Ethernet ET désactiver le Wi-Fi) sans les éteindre. Couper l'accès Internet du site si propagation suspectée. Préserver les preuves en mémoire vive utiles à la forensique.

   ⚠️ NE PAS éteindre les machines : on perd la RAM, les processus actifs et les clés temporaires éventuellement extractibles.

2. 2

   NE PAS payer la rançon

   Le paiement ne garantit pas la restitution (30-50 % d'échecs documentés) et alimente l'écosystème criminel. Position partagée par ANSSI, Europol et FBI. Certaines transactions tombent sous le coup de sanctions financières internationales si le groupe est listé OFAC. Privilégier d'abord l'évaluation des options de récupération technique.

3. 3

   Notifier les autorités sous 72h

   • ▸Plainte : police judiciaire (cybercriminalité) ou cybergendarmerie
   • ▸CNIL (RGPD article 33) : si données personnelles concernées, sous 72h
   • ▸ANSSI : entités essentielles/importantes (NIS2), sous 24h en early warning
   • ▸Assureur cyber : déclaration sinistre selon contrat (souvent < 24-48h)
4. 4

   Identifier la famille de ransomware

   Photographier la note de rançon (sans la rouvrir si possible). Conserver un échantillon chiffré pour analyse (sans manipulation, format brut). Soumettre à un service d'identification : ID Ransomware, NoMoreRansom.org, ou directement au laboratoire. L'identification précise oriente les pistes de récupération possibles.

5. 5

   Appeler un laboratoire forensique spécialisé

   Contact d'un laboratoire avec compétences forensiques avérées. Mise en place du protocole de chaîne de conservation dès l'envoi des supports : copie bit-à-bit, hash MD5/SHA-256, scellés numériques, journal horodaté. Diagnostic gratuit sous 24-48h pour évaluer les options.

   Cellule de crise Dafotec : 09 83 70 00 00 (24/7)

Questions fréquentes — ransomware