Le contexte
Une PME de e-commerce lilloise centralise sur un NAS Synology DS920+ (4 disques de 8 To en SHR, soit 24 To utiles) ses fiches produits, visuels, factures et bases clients. Un lundi matin, plus rien n'est lisible : chaque fichier porte une extension étrangère, et une note réclame un paiement en cryptomonnaie. Diagnostic : eCh0raix, un ransomware ciblant spécifiquement les NAS QNAP et Synology.
Le réflexe de l'équipe IT a été le bon : débrancher immédiatement le NAS du réseau et ne rien tenter. C'est ce qui a tout changé.
L'intervention
Le NAS nous est confié en urgence entreprise. La règle d'or s'applique : on ne travaille jamais dans le boîtier d'origine. Étapes :
- Extraction des 4 disques et clonage secteur par secteur, derrière bloqueur d'écriture, sur banc dédié.
- Reconstruction du volume SHR (pile mdadm + LVM) hors du boîtier, à partir des images.
- Analyse du système de fichiers Btrfs et inventaire des snapshots : eCh0raix avait chiffré les fichiers visibles mais ignoré les instantanés en lecture seule antérieurs à l'attaque.
- Montage du snapshot daté de la veille de l'intrusion et extraction de l'état sain : fiches produits, visuels, comptabilité, bases clients.
Le traitement s'est fait sur réseau isolé (air gap), pour écarter tout risque de propagation pendant l'analyse.
Le résultat
En sept jours, l'intégralité des 24 To a été restaurée dans son état de la veille de l'attaque — soit une perte de données quasi nulle. Les fichiers ont été restitués sur une baie neuve chiffrée, après validation de la liste VeriFiles. Aucune rançon n'a été versée. L'entreprise a repris son activité, et nous lui avons recommandé une stratégie 3-2-1-1-0 avec copie hors ligne pour que la prochaine attaque ne soit qu'un non-événement.