Reconstruire après un ransomware Sans verser la rançon.
Les systèmes d’une entreprise romande multi-sites ont été chiffrés en pleine journée. Trois semaines pour rétablir les services essentiels sur tous les sites, sans verser la rançon.
- Client
- Entreprise romande Anonymisée à sa demande
- Lieux
- Plusieurs sites Suisse et international
- Périmètre
- Infrastructure complète Serveurs, messagerie, données
- Solution
- Reconstruction intégrale Sauvegardes et détection
Sommaire
Une entreprise romande implantée sur plusieurs sites.
L’entreprise fait travailler ses équipes sur plusieurs sites, en Suisse et à l’international. Ses serveurs de fichiers, sa messagerie et ses outils métier étaient administrés en interne, sur du matériel lui appartenant. Plusieurs chantiers de modernisation étaient déjà identifiés : le renouvellement des pare-feu, la mise à jour de certains systèmes, un meilleur cloisonnement entre les sites. L’attaque est arrivée avant leur déploiement.
Une intrusion silencieuse, puis un chiffrement en pleine journée.
Le premier signe visible est apparu lorsque certaines machines virtuelles ont refusé de démarrer. Au même moment, les extensions de fichiers ont commencé à changer sous les yeux de l’équipe : le chiffrement était en cours. La consigne a été immédiate, isoler les équipements et couper physiquement les connexions réseau.
Cette réaction a préservé une partie du parc. Le cœur de l’infrastructure avait toutefois déjà été atteint : l’annuaire central, les plateformes de virtualisation et les sauvegardes accessibles depuis le réseau de production.
Le scénario d’intrusion le plus probable.
Les éléments réunis pendant l’analyse ne décrivent pas une prouesse technique, mais un enchaînement de quatre faiblesses, chacune ordinaire prise séparément.
Un message piégé comme point d’entrée
L’analyse de l’incident a identifié un message piégé comme point d’entrée le plus probable. La personne qui l’a ouvert ne disposait d’aucun droit d’administration ; son poste a néanmoins fourni aux attaquants un premier accès à l’environnement.
Des identifiants privilégiés exploités pour progresser
Depuis ce poste compromis, les attaquants semblent être parvenus à récupérer puis à réutiliser l’empreinte NTLM d’un compte disposant de droits étendus, une technique qui permet de s’authentifier sans connaître le mot de passe. Dans l’environnement de détection alors en place, aucun signal exploitable n’a permis d’identifier cette progression avant le chiffrement.
Des sites insuffisamment cloisonnés
Les différents sites communiquaient au moyen de liaisons permanentes. Une fois les droits nécessaires obtenus, les attaquants ont pu utiliser ces connexions pour progresser d’un site à l’autre sans rencontrer de frontière de sécurité suffisante.
Des sauvegardes segmentées, mais insuffisamment isolées
Chaque site disposait de sauvegardes locales placées sur des VLAN distincts de ceux de la production, et les données essentielles étaient consolidées au siège. Cette segmentation limitait les accès ordinaires sans offrir un cloisonnement suffisant face à un attaquant disposant de droits privilégiés : les chemins d’administration encore autorisés ont permis d’atteindre les systèmes de sauvegarde, qui sont devenus indisponibles à leur tour.
Isoler, repartir d’une base saine, reconstruire.
Isoler avant de reconstruire
La première urgence n’était pas de rallumer les serveurs, mais d’interrompre la propagation et de reprendre le contrôle de l’environnement. Les connexions entre les sites ont été coupées, les comptes sensibles bloqués et les équipements examinés progressivement.
Avant toute remise en service, il fallait vérifier qu’aucun accès actif ne subsistait et qu’aucun système compromis ne serait réintroduit dans l’infrastructure reconstruite. Cette phase a imposé de travailler de manière méthodique : préserver les éléments utiles à l’analyse, identifier les sources de données exploitables, définir un ordre de reconstruction et ne reconnecter chaque composant qu’après contrôle.
Retrouver un annuaire exploitable
Sur un site distant, un contrôleur d’annuaire secondaire était resté hors ligne pendant plusieurs semaines. Il avait ainsi échappé à l’attaque. Après vérification de son intégrité, cet annuaire légèrement antérieur à l’incident a servi de base de reconstruction.
Les modifications les plus récentes ont dû être reconstituées, mais ce point de reprise a évité de recréer intégralement les comptes, les groupes et les droits d’accès. Ce serveur n’a pas été reconnecté tel quel à l’environnement compromis : il a fourni une base de travail contrôlée à partir de laquelle l’annuaire a pu être remis en état.
Reconstruire les systèmes, restaurer uniquement les données
Les systèmes d’exploitation, l’annuaire, les plateformes de virtualisation, les serveurs de fichiers, les bases de données et les outils métier ont été reconstruits sur des bases neuves. Aucun disque système compromis n’a été remis en production : plusieurs dizaines de machines virtuelles ont été reconstruites.
La réplication hors site, synchronisée toutes les cinq à dix minutes, n’avait pas été atteinte. Plusieurs dizaines de téraoctets de données ont été restaurés, contrôlés puis réintégrés dans les environnements reconstruits, en donnant la priorité aux services indispensables à l’activité avant de traiter les fonctions secondaires.
- Annuaire central
- Plateformes de virtualisation
- Serveurs de fichiers
- Bases de données
- Outils métier
- Messagerie, migrée dans le cloud
Sauver la messagerie
Le serveur de messagerie interne avait été chiffré avec le reste de l’infrastructure. Les postes de travail conservaient toutefois des copies locales exploitables de certaines boîtes aux lettres. Ces données ont été extraites poste par poste, puis réimportées dans une nouvelle messagerie cloud, conservée depuis afin de séparer la messagerie de l’infrastructure locale.
Reprendre l’activité sans payer la rançon
Les attaquants réclamaient plusieurs centaines de milliers de dollars. La rançon n’a pas été versée. La réplication hors site exploitable, la reconstruction des systèmes et la compréhension technique acquise pendant l’intervention ont permis à l’entreprise de repartir sans dépendre des attaquants ni de leurs promesses de déchiffrement.
Le refus de payer n’a pas supprimé la difficulté de la reprise. Il a rendu encore plus importantes la qualité des données préservées, l’ordre de reconstruction et la capacité à travailler durablement dans un environnement dégradé.
Trois semaines pour rétablir, trois mois pour stabiliser.
Rançon versée
0
Les attaquants réclamaient plusieurs centaines de milliers de dollars. Rien n’a été versé : les systèmes ont été reconstruits sur des bases saines et les données restaurées depuis une réplication hors site que l’attaque n’avait pas atteinte.
Services essentiels rétablis
3 semaines
Trois semaines entre le chiffrement et des services de nouveau accessibles sur tous les sites, dans un environnement encore dégradé. Trois mois ont été nécessaires pour retrouver une infrastructure stabilisée.
Aucun dispositif ne garantit qu’une attaque sera arrêtée dès son premier geste. La nouvelle architecture augmente en revanche fortement les chances de détecter une activité anormale plus tôt, de contenir les équipements concernés et de préserver les copies nécessaires à la restauration.
Une activité qui repart, une architecture qui tient.
Pour l’entreprise
Le risque, avant
Une rançon de plusieurs centaines de milliers de dollars réclamée, trois semaines d’activité dégradée sur l’ensemble des sites, et trois mois de travail avant de retrouver un environnement stabilisé.
Le bénéfice, depuis
Rien n’a été versé aux attaquants : la reconstruction sur des bases saines et les copies préservées ont rendu la rançon sans objet.
Pour l’infrastructure
Le risque, avant
Environ deux semaines de présence sans alerte exploitable, des pare-feu dont le renouvellement attendait, des sites reliés en permanence et des sauvegardes atteignables depuis les chemins d’administration.
Le bénéfice, depuis
Postes et serveurs surveillés en continu, isolement automatique d’une machine confirmée compromise, et copies critiques hors site et immuables.
Témoignage
Le matin où les fichiers ont commencé à changer de nom, nous avons débranché les câbles nous-mêmes. Ce qui m’a marqué ensuite, c’est le calme : isoler, reconstruire, dans un ordre précis. Aujourd’hui, je sais ce qui est surveillé, ce qui est sauvegardé et où se trouvent les copies.
Du hasard à une architecture de reprise.
- Une cyberattaque ne se traite pas uniquement avec des outils. Pendant la crise, les décisions techniques, les communications et les priorités doivent suivre une chaîne claire.
- La réponse a été organisée autour d’un pilotage centralisé : isoler, préserver les éléments utiles, reconstruire dans un ordre défini et maîtriser les informations partagées. Cette organisation a limité les actions contradictoires.
- L’inventaire et la cartographie menés dès le début de l’intervention ont permis de comprendre les dépendances entre les sites et les systèmes, puis de choisir un ordre de reconstruction adapté à l’activité réelle.
Au moment de l’attaque, le seul annuaire exploitable avait été préservé par une circonstance favorable. Ce hasard n’est plus une stratégie : l’annuaire de reprise est isolé et maintenu selon une procédure contrôlée, les sauvegardes critiques disposent de copies hors site immuables, les accès d’administration sont séparés et les sites mieux cloisonnés. L’entreprise ne dépend plus d’un concours de circonstances pour repartir.
Votre exposition
Commencez par mesurer l’exposition.
Exposition, accès, sauvegardes. Trois points à regarder avant de décider quoi que ce soit. Sans engagement.
Planifier un audit de sécurité