Reprise après une attaque ransomware : les étapes pour redémarrer sans se faire réinfecter

La réponse courte : après une attaque par rançongiciel, la pire décision est de tout restaurer au plus vite sur les mêmes machines. L’attaquant est souvent entré plusieurs jours ou semaines avant le chiffrement, il a créé des comptes, installé des outils et repéré les sauvegardes : restaurer sans nettoyer, c’est lui rendre les clés. La reprise suit un ordre précis : comprendre comment il est entré et ce qu’il a laissé, reconstruire l’annuaire et les serveurs critiques sur des bases saines, restaurer les données depuis une sauvegarde vérifiée, changer tous les secrets, puis redémarrer par paliers sous surveillance.

Ce guide fait suite à notre article sur le plan de réponse à incident et la première heure. Chez ALLSAFE SOLUTIONS, infogérant à Casablanca, nous accompagnons ces reprises dans le cadre de notre offre de sauvegarde et continuité d’activité au Maroc. Les étapes décrites s’appuient sur le guide #StopRansomware de la CISA, la fiche rançongiciel de Cybermalveillance.gouv.fr et la documentation Microsoft sur Active Directory.

Avant de reconstruire : comprendre ce qui s’est passé

La phase d’analyse paraît une perte de temps quand l’entreprise est à l’arrêt. C’est pourtant elle qui évite la deuxième attaque. Il s’agit de répondre à trois questions.

Par où l’attaquant est-il entré ?

Les portes d’entrée les plus fréquentes sont connues : un e-mail piégé ouvert sur un poste, un accès distant exposé (bureau à distance, VPN sans double authentification), une faille non corrigée sur un pare-feu ou un serveur exposé, un mot de passe volé ou réutilisé. Tant que la porte n’est pas identifiée et fermée, toute reconstruction reste fragile. La CISA recommande d’examiner aussi les comptes de messagerie et les systèmes impliqués dans la compromission initiale.

Qu’a-t-il fait dans le réseau ?

Le guide de la CISA liste les traces à chercher :

• comptes Active Directory créés ou dont les droits ont été élevés, activité inhabituelle des administrateurs du domaine ;
• usage détourné d’outils intégrés à Windows qui servent à empêcher la restauration (suppression des clichés instantanés, désactivation de la récupération) ;
• logiciels de prise en main à distance inattendus, scripts PowerShell inhabituels, outils de vol d’identifiants ;
• nouveaux services et tâches planifiées ;
• volumes de données sortantes anormaux, signe d’une exfiltration avant chiffrement.

Ce dernier point compte : de nombreux groupes volent les données avant de les chiffrer, puis menacent de les publier. La restauration ne règle pas ce risque, qui relève alors du juridique et de la communication.

Quelle est l’étendue ?

On dresse la liste de ce qui est touché et de ce qui ne l’est pas, en partant de la liste des systèmes critiques du plan de reprise. Les journaux du pare-feu, de l’EDR et de la messagerie servent à reconstituer la chronologie. Il faut garder ces éléments : ils serviront à l’assureur et à la plainte.

Identifier la famille de rançongiciel et chercher un déchiffreur

La note de rançon et l’extension des fichiers chiffrés permettent souvent d’identifier la famille. Le projet No More Ransom, lancé par Europol, la police néerlandaise et des éditeurs de sécurité, publie gratuitement des outils de déchiffrement pour certaines familles. Cela vaut toujours la peine de vérifier ; mais pour les familles récentes, il n’existe souvent aucun outil. Les autorités déconseillent de payer la rançon : rien ne garantit la récupération des données, et l’attaquant garde une copie de ce qu’il a volé.

L’ordre de reconstruction

On ne remet pas tout en route en même temps. La CISA recommande de reconstruire par priorité, à partir d’images standard, et de ne raccorder que des systèmes propres dans un réseau de reprise isolé.

Ordre	Ce qu’on reconstruit	Pourquoi
1	Pare-feu et accès distants	Fermer la porte d’entrée, couper les accès de l’attaquant
2	Infrastructure de sauvegarde	Disposer d’une plateforme saine pour restaurer, isolée du reste
3	Active Directory et comptes d’administration	Tout le reste en dépend ; un annuaire compromis rouvre tout
4	Systèmes critiques du plan de reprise	Messagerie, ERP, serveur de fichiers, téléphonie selon l’activité
5	Postes de travail	Réinstallés ou nettoyés, contrôlés un par un avant reconnexion

Le pare-feu et les accès distants

Avant de reconnecter quoi que ce soit, on vérifie le pare-feu : version à jour, comptes d’administration revus, règles d’accès entrantes fermées sauf nécessité, VPN avec double authentification. Si la porte d’entrée était une faille de l’équipement, on applique le correctif avant toute remise en service ; notre guide sur la gestion des correctifs détaille la méthode.

L’Active Directory

C’est le point le plus délicat. Si l’attaquant a obtenu des droits d’administrateur du domaine, l’annuaire entier doit être considéré comme compromis. Deux voies existent : restaurer un contrôleur de domaine depuis une sauvegarde antérieure à l’intrusion puis nettoyer, ou reconstruire. Dans les deux cas, on supprime les comptes et les délégations ajoutés par l’attaquant, on revoit les groupes à privilèges et on réinitialise deux fois le mot de passe du compte krbtgt, comme le recommande Microsoft, en laissant entre les deux le temps de réplication et la durée de vie maximale des tickets. Nous détaillons ces réglages dans notre guide de durcissement Active Directory.

Les serveurs et les données

Les serveurs touchés sont réinstallés à partir d’installations saines, puis les données sont restaurées depuis une sauvegarde antérieure à l’attaque, vérifiée avant usage. Restaurer une machine virtuelle complète de la veille n’est acceptable que si l’analyse a établi qu’elle n’était pas compromise à cette date.

Choisir une sauvegarde saine

La sauvegarde est ce qui fait la différence entre une reprise et une catastrophe. Encore faut-il qu’elle soit utilisable :

• elle doit avoir survécu : les attaquants ciblent les sauvegardes connectées. Seules une copie hors ligne ou une copie immuable, comme décrit dans notre guide sauvegarde 3-2-1 immuable, offrent une garantie raisonnable ;
• elle doit être antérieure à l’intrusion, pas seulement au chiffrement : la chronologie établie pendant l’analyse donne la bonne date ;
• elle doit être contrôlée : analyse antivirus des données restaurées, restauration d’abord dans un réseau isolé ;
• elle doit être restaurable dans un délai acceptable : c’est ce que mesurent les tests de restauration réguliers, décrits dans notre méthode pour tester une restauration de sauvegarde.

Veeam, par exemple, propose une restauration sécurisée qui analyse les données avec un antivirus avant de les remettre en production ; c’est un réglage à prévoir avant l’incident.

Changer tous les secrets

Une fois l’environnement reconstruit, la CISA recommande de réinitialiser les mots de passe de tous les systèmes touchés. En pratique :

• comptes d’administration du domaine et comptes de service ;
• mots de passe administrateurs locaux des postes et serveurs, de préférence uniques par machine avec Windows LAPS ;
• comptes des consoles : pare-feu, hyperviseurs, sauvegarde, Microsoft 365, EDR ;
• comptes des utilisateurs, avec activation de la double authentification si elle manquait ;
• clés et certificats exposés, jetons d’accès des applications.

Redémarrer par paliers

On remet en service par étapes, en commençant par les fonctions dont l’activité ne peut pas se passer. Chaque palier est surveillé de près : EDR actif sur chaque poste reconnecté, alertes du pare-feu et des journaux de l’annuaire suivies en continu. Cybermalveillance.gouv.fr insiste sur ce redémarrage progressif et contrôlé, pour détecter une nouvelle tentative avant qu’elle ne se propage.

Communiquer pendant la reprise

La reprise n’est pas seulement technique. Les salariés doivent savoir quels outils ils peuvent utiliser, lesquels ne pas rallumer, et comment travailler en mode dégradé : formulaires papier, téléphones mobiles, boîte de messagerie provisoire si la messagerie est arrêtée. Les clients et fournisseurs ont pu recevoir des e-mails piégés envoyés depuis vos comptes, ou être concernés si leurs données ont été volées : ils doivent l’apprendre par vous, en termes clairs et exacts, après relecture par votre conseil juridique. En interne, un seul porte-parole et un point d’étape à heures fixes évitent les rumeurs et les consignes contradictoires. Enfin, chaque décision et chaque action sont consignées : l’assureur, la police et le retour d’expérience en auront besoin.

Après la reprise : ne pas revivre la même attaque

Le retour d’expérience est la dernière étape, et la plus souvent oubliée. Il répond à trois questions : comment l’attaquant est entré, pourquoi il n’a pas été détecté plus tôt, et ce qui a ralenti la reprise. Les réponses débouchent sur un plan d’actions daté : double authentification généralisée, correctifs, segmentation du réseau, détection sur les postes, sauvegarde immuable, mise à jour du plan de reprise d’activité. Les mesures de prévention de base sont résumées dans notre article sur les 7 mesures contre le rançongiciel.

Checklist de reprise après rançongiciel

• Porte d’entrée identifiée et fermée.
• Comptes, tâches planifiées et outils de l’attaquant recherchés et supprimés.
• Preuves conservées : journaux, images de machines, note de rançon.
• Déchiffreur recherché sur No More Ransom.
• Pare-feu, sauvegarde et Active Directory reconstruits en premier ; krbtgt réinitialisé deux fois si l’annuaire était compromis.
• Serveurs réinstallés, données restaurées depuis une sauvegarde antérieure à l’intrusion et contrôlée.
• Tous les mots de passe et secrets changés, double authentification activée.
• Redémarrage par paliers sous surveillance renforcée.
• Retour d’expérience écrit et plan d’actions daté.

Comment nous procédons

Nous commençons par un audit initial offert de votre capacité de reprise : sauvegardes hors ligne ou immuables, tests de restauration, état de l’Active Directory, accès distants et détection sur les postes. Nous mettons en place une sauvegarde capable de résister à un rançongiciel et un plan de reprise testé. En cas d’incident, notre équipe de supervision 24/7 prend en charge un incident critique en moins de 15 minutes, à distance, avec intervention sur site depuis Casablanca si nécessaire, et conduit la reconstruction dans l’ordre décrit ici, en lien avec notre offre de cybersécurité des entreprises au Maroc.

En tant que partenaire Veeam et partenaire Microsoft, nous déployons les sauvegardes et administrons les annuaires de nos clients au quotidien. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.