Des fichiers soudainement chiffrés exigent d’abord du calme et de l’isolement
Je vous aide à contenir l’incident sans détruire les traces ni exposer vos sauvegardes.
Technicien informatique en Dordogne – Intervention rapide à domicile
Tera24 accompagne les particuliers, TPE, PME, associations et hébergements touristiques pour tous leurs besoins en dépannage informatique : réparation PC Windows et Mac, suppression de virus, installation d’imprimantes, optimisation, sauvegarde des données, réseaux Wi-Fi et assistance à domicile dans toute la Dordogne.
Préserver les preuves et les copies avant de reconstruire Windows
Chaque étape doit protéger vos options de récupération sans promettre un déchiffrement impossible à garantir.
Déconnecter réseau et supports sans effacer les traces
Un rançongiciel peut bloquer l’accès à un appareil ou chiffrer ses fichiers avant de réclamer une rançon. Si des documents changent soudainement d’extension, deviennent illisibles ou s’accompagnent d’un message de paiement, je traite la situation comme un incident en cours. Je ne commence ni par chercher un logiciel miracle ni par réinstaller Windows : la priorité est d’empêcher le poste de communiquer avec d’autres appareils ou espaces de stockage.
Débranchez le câble réseau et coupez la connexion Wi-Fi du PC touché. Déconnectez aussi les disques externes et clés USB qui ne sont pas nécessaires au constat, sans supprimer leur contenu ni les reformater. Cette isolation limite la propagation tout en laissant l’ordinateur dans un état plus utile à l’analyse. Si plusieurs machines présentent les mêmes symptômes, isolez-les chacune du réseau et évitez de déplacer des fichiers entre elles.
Éteindre immédiatement n’est pas toujours le meilleur premier geste : la CISA rappelle qu’une extinction peut faire disparaître des informations volatiles utiles à l’analyse. Elle devient une solution de dernier recours lorsque vous ne pouvez pas isoler le système du réseau autrement. Ne laissez cependant jamais l’appareil continuer à communiquer simplement pour préserver ces traces.
Notez l’heure à laquelle vous avez constaté le problème et celle de l’isolement. Ne reconnectez pas brièvement le Wi-Fi pour consulter un site ou envoyer une capture depuis ce PC. Utilisez un autre appareil réputé sain pour communiquer. Cette séparation paraît contraignante, mais elle évite qu’un geste banal ne relance des échanges réseau dont vous ne connaissez pas encore la portée.
Identifier l’étendue sans ouvrir davantage de fichiers
Une fois le réseau coupé, l’objectif n’est pas d’ouvrir chaque dossier pour compter les dégâts. Commencez par ce qui est déjà visible : noms de fichiers, nouvelles extensions, message affiché, lecteurs présents et éventuels autres postes signalant le même comportement. Gardez le système isolé pendant ce constat limité.
Dressez une liste courte des zones apparemment concernées sans ouvrir davantage de fichiers : dossier utilisateur, partage réseau, support externe qui était branché ou espace synchronisé. L’étendue réelle doit être confirmée depuis un environnement fiable, pas depuis le poste encore suspect.
- Ne double-cliquez pas sur une série de fichiers pour voir lesquels s’ouvrent.
- Ne renommez pas les extensions et ne déplacez pas les dossiers touchés.
- Ne lancez pas un exécutable, un décrypteur ou un nettoyeur téléchargé au hasard.
- Ne branchez pas une sauvegarde saine pour effectuer une comparaison immédiate.
Si vous devez photographier l’écran, faites-le avec un téléphone sans connecter ce dernier au PC. Conservez une vue d’ensemble et quelques détails utiles, sans diffuser publiquement des noms de fichiers personnels. Je préfère un constat limité et propre à une exploration improvisée qui complique ensuite la compréhension de l’incident.
Protéger les sauvegardes non touchées
Une sauvegarde connectée en permanence peut être atteinte elle aussi par un logiciel malveillant. Ne branchez donc pas le disque qui contient votre dernière copie pour vérifier si elle fonctionne. Gardez-le hors ligne, identifiez-le clairement et notez la date approximative de sa dernière utilisation. Un support externe destiné aux sauvegardes doit rester déconnecté lorsqu’il n’est pas utilisé.
Les copies présentes sur un NAS, un partage réseau ou un service synchronisé peuvent également avoir été exposées si elles restaient accessibles au système. Ne les considérez pas comme saines avant contrôle : la CISA demande de protéger les sauvegardes hors ligne et d’en vérifier l’intégrité avant toute restauration depuis un environnement propre.
La bonne stratégie repose sur plusieurs copies réparties sur des supports ou emplacements différents. Mon guide sur la sauvegarde 3-2-1 des photos et documents explique cette séparation. Si vous hésitez entre plusieurs supports, l’article consacré au choix entre NAS et disque dur externe précise leurs rôles respectifs.
Avant de restaurer quoi que ce soit, l’intégrité de la sauvegarde hors ligne doit être vérifiée depuis un environnement propre. Une copie qui existe n’est pas automatiquement saine, complète ou restaurable. Gardez l’original de la sauvegarde à l’écart pendant que la méthode de contrôle est définie.
Documenter message, extension et chronologie
Le message de rançon, la nouvelle extension éventuelle et la chronologie peuvent aider à caractériser l’incident. Photographiez le message dans son ensemble, puis les informations visibles sans cliquer sur ses liens. Relevez l’extension exacte de quelques fichiers déjà identifiés, l’heure du premier symptôme et les événements inhabituels connus juste avant : pièce jointe ouverte, téléchargement, alerte de sécurité ou compte devenu inaccessible.
Préservez les messages malveillants, les journaux disponibles, les supports physiques concernés et quelques échantillons de fichiers chiffrés. Il ne s’agit pas de tout copier ni de transmettre vos données à n’importe qui. Rangez les éléments de façon à éviter leur altération et indiquez d’où ils proviennent. Les documents personnels doivent rester confidentiels et ne doivent être fournis qu’à un interlocuteur légitime dans le cadre du diagnostic ou du signalement.
Ces éléments forment quatre repères complémentaires prévus par les recommandations publiques : le message malveillant visible, les journaux disponibles, les supports physiques concernés et des échantillons de fichiers déjà chiffrés. Leur conservation précède la réinstallation, car une remise à zéro peut supprimer les preuves que vous cherchez justement à préserver.
Cybermalveillance.gouv.fr recommande de déposer plainte avant une réinstallation susceptible d’effacer des preuves. Préparez donc une chronologie lisible avant toute remise à zéro : découverte, isolement, appareils touchés, supports connectés et actions déjà tentées. Cette démarche ne répare pas le PC, mais elle évite de détruire des informations utiles à l’enquête ou à la compréhension de la contamination.
Ne payez pas la rançon. Cybermalveillance.gouv.fr déconseille ce paiement et rappelle qu’il ne garantit pas la récupération des données.
Faire analyser depuis un environnement fiable
L’analyse ne doit pas dépendre des outils présents sur le Windows suspect. Utilisez un autre poste connu comme sain pour rechercher les coordonnées officielles, préparer le signalement et organiser l’intervention. Le PC touché reste isolé pendant que l’on décide quelles traces préserver, quels supports examiner et dans quel ordre. Cette préparation évite de confondre urgence et précipitation.
Le diagnostic doit répondre à plusieurs questions avant la remise en service : quels appareils ou emplacements ont été exposés, quelles sauvegardes sont restées séparées, quels comptes doivent être sécurisés depuis un appareil sain, et quelles données sont prioritaires. La CISA recommande de prioriser les systèmes et les données avant la restauration, puis de travailler sur un réseau propre.
Je peux aider à établir un premier diagnostic et à organiser les étapes, mais certains cas nécessitent une expertise spécialisée. Si des données indispensables n’existent plus que sur un support touché, une intervention de récupération peut être envisagée sans garantie. Mon article sur la récupération de données en Dordogne explique ce qui peut être tenté localement et quand un laboratoire devient plus adapté.
L’analyse depuis cet environnement fiable doit précéder la restauration. Elle sert à prioriser les systèmes et les données, puis à organiser une remise en état sur un réseau propre. Tant que cette étape n’est pas achevée, gardez le poste touché isolé et les sauvegardes hors ligne protégées.
Expliquer restauration, signalement et limites sans promettre de déchiffrement
Des outils de déchiffrement peuvent exister pour certains rançongiciels seulement. Leur existence dépend du cas précis et ne permet jamais de promettre une récupération complète. N’exécutez pas un outil portant simplement le bon nom apparent : vérifiez sa provenance et faites confirmer qu’il correspond réellement à l’incident avant de lui confier une copie de travail.
Lorsque l’intégrité du système ne peut pas être établie, une réinstallation de Windows peut être nécessaire. Elle intervient après la préservation des preuves et le signalement, pas comme premier réflexe. La restauration se prépare ensuite depuis une sauvegarde réputée saine, dans un environnement propre, en commençant par les données et fonctions prioritaires.
Avant la restauration, faites vérifier l’intégrité de la sauvegarde hors ligne depuis un environnement propre. Cette vérification ne transforme pas la récupération en certitude : selon le cas, elle peut rester partielle et aucun déchiffrement complet ne peut être promis.
Après la remise en service, reconstruisez une stratégie où aucune erreur unique ne peut atteindre toutes les copies. Conservez plusieurs exemplaires sur des supports ou emplacements différents et déconnectez le support externe lorsqu’il n’est pas utilisé. Enfin, notez ce qui a été restauré et ce qui reste incertain. La bonne conclusion n’est pas de déclarer l’incident effacé, mais de savoir ce qui a été vérifié, ce qui a été récupéré et quelles limites demeurent.
Cette séparation reste utile après l’incident : plusieurs copies sur des supports ou dans des emplacements différents réduisent le risque de perte simultanée. Le support externe retrouve donc sa place hors ligne dès que son utilisation de sauvegarde est terminée.
