Ransomware : détecter, isoler et récupérer ses fichiers

Comprendre un Malware qui chiffre les fichiers puis exige une rançon (souvent en crypto) pour les déchiffrer.">ransomware (et pourquoi ça va très vite)

Un Malware qui chiffre les fichiers puis exige une rançon (souvent en crypto) pour les déchiffrer.">ransomware (ou rançongiciel) est un malware qui chiffre tes fichiers (documents, photos, bases de données...) puis affiche une demande de rançon pour obtenir une clé de déchiffrement. Dans les attaques modernes, il y a souvent une double extorsion : en plus du chiffrement, les pirates volent des données et menacent de les publier.

Le point clé : un Malware qui chiffre les fichiers puis exige une rançon (souvent en crypto) pour les déchiffrer.">ransomware ne se contente pas d'un PC. Il peut aussi viser les partages réseau (NAS, serveurs, dossiers partagés Windows), les disques externes branchés, et parfois se propager à d'autres machines si l'attaquant a obtenu des identifiants.

Détecter un Malware qui chiffre les fichiers puis exige une rançon (souvent en crypto) pour les déchiffrer.">ransomware : les signes qui doivent t'alerter

Symptômes visibles sur ton PC

• Fichiers renommés avec une extension inconnue (.locked, .crypt, .xxx, etc.).
• Impossible d'ouvrir des documents qui fonctionnaient juste avant (Word/Excel/PDF).
• Apparition d'une note de rançon (README.txt, DECRYPT_FILES.html, etc.).
• Activité disque anormale : ventilateurs, PC lent, voyant disque très actif.
• Des dossiers entiers deviennent illisibles, y compris sur un disque externe ou un lecteur réseau.

Indices techniques (Windows)

• Dans le Gestionnaire des tâches, un processus inconnu consomme CPU/disque.
• Dans l'Observateur d'événements, des erreurs liées à l'accès aux fichiers en rafale.
• Des Shadow Copies (instantanés Windows) supprimées : certains ransomwares exécutent des commandes du type vssadmin delete shadows.

Attention aux faux positifs

Une extension bizarre ne signifie pas toujours Malware qui chiffre les fichiers puis exige une rançon (souvent en crypto) pour les déchiffrer.">ransomware (certains logiciels de sauvegarde/archivage peuvent renommer). Mais si tu vois une note de rançon + fichiers illisibles, considère que c'est une urgence.

Isoler immédiatement : couper la propagation en 2 minutes

Ton objectif est simple : stopper le chiffrement et empêcher que l'attaque touche d'autres appareils.

Étapes d'urgence (à faire dans l'ordre)

1. Déconnecte Internet : coupe le Wi‑Fi ou retire le câble Ethernet.
2. Débranche les supports : disques externes, clés USB, cartes SD.
3. Coupe l'accès aux partages réseau : désactive le Wi‑Fi/ethernet (déjà fait) et, si possible, éteins temporairement le NAS/serveur de fichiers.
4. Ne redémarre pas à la légère : si le chiffrement est en cours, tu peux d'abord éteindre (appui long) pour stopper net. Ensuite seulement, tu analyseras.
5. Si tu es en entreprise/avec un réseau familial : isole aussi les autres PC (déconnexion réseau) par précaution.

Pourquoi l'isolement est prioritaire

Beaucoup de ransomwares chiffrent d'abord les dossiers accessibles rapidement (Documents, Bureau), puis attaquent les lecteurs réseau. Chaque minute compte : moins tu laisses tourner, plus tu as de chances de sauver des fichiers.

Ne paie pas tout de suite : ce qu'il faut savoir sur la rançon

Payer n'est jamais une garantie : tu peux ne rien recevoir, recevoir une clé qui ne fonctionne pas, ou te faire cibler à nouveau. De plus, payer finance le crime. Avant toute décision, tente les options de récupération ci-dessous et identifie la famille du Malware qui chiffre les fichiers puis exige une rançon (souvent en crypto) pour les déchiffrer.">ransomware.

Identifier le Malware qui chiffre les fichiers puis exige une rançon (souvent en crypto) pour les déchiffrer.">ransomware (utile pour trouver un déchiffreur)

Certains ransomwares ont des outils de déchiffrement publics (selon la variante et les erreurs des pirates). Pour maximiser tes chances :

• Garde une copie de la note de rançon (fichier texte/HTML) et de l'extension ajoutée aux fichiers.
• Conserve un ou deux fichiers chiffrés (ne les modifie pas).
• Note l'heure approximative du début et si un mail/pièce jointe a déclenché l'incident.

Ensuite, tu peux utiliser un service de référence comme No More Ransom (initiative internationale) pour tenter d'identifier la souche et vérifier l'existence d'un déchiffreur.

Nettoyer la machine : vérifier et supprimer l'infection

Avant de restaurer des fichiers, assure-toi que le système est sain. Sinon, tu risques de re-chiffrer tes données restaurées.

Méthode recommandée (Windows 10/11)

1. Démarre en mode sans échec (si possible) pour limiter les processus tiers.
2. Lance une analyse complète avec Sécurité Windows (Microsoft Defender).
3. Complète avec un second avis (ex. Malwarebytes) pour augmenter le taux de détection.
4. Vérifie les programmes au démarrage (Gestionnaire des tâches > Démarrage) et supprime ce qui est suspect.
5. Contrôle les tâches planifiées (Planificateur de tâches) : certains ransomwares laissent des mécanismes de persistance.

Option la plus sûre : réinstallation

Si l'attaque a été sérieuse (compte admin compromis, réseau touché, données exfiltrées), la méthode la plus fiable reste : sauvegarder ce qui est récupérable (fichiers chiffrés inclus), puis réinstaller Windows proprement et changer tous les mots de passe.

Récupérer ses fichiers : les méthodes qui marchent vraiment

Il n'existe pas de solution miracle universelle. L'objectif est d'explorer toutes les pistes dans un ordre logique.

1) Restaurer depuis une sauvegarde (la meilleure option)

Si tu as une sauvegarde déconnectée (disque externe non branché en permanence) ou une sauvegarde cloud versionnée, tu as de grandes chances de t'en sortir.

1. Vérifie que le PC est nettoyé (ou réinstallé).
2. Connecte le support de sauvegarde uniquement après nettoyage.
3. Restaure d'abord un petit lot de fichiers pour tester.
4. Ensuite, restaure le reste par dossiers (Documents, Photos, projets...).

Astuce : si tu utilises OneDrive/Google Drive/Dropbox, regarde l'historique des versions et la fonction de restauration à une date antérieure (selon l'offre).

2) Utiliser un déchiffreur officiel (si disponible)

Pour certaines familles, des chercheurs ont publié des outils. Sur No More Ransom, tu peux trouver :

• Des déchiffreurs spécifiques (selon extension et note de rançon).
• Des guides associés et des précautions (ne pas renommer les fichiers, conserver l'arborescence, etc.).

Si un déchiffreur existe, suis la procédure à la lettre et teste sur une copie de fichiers.

3) Tenter les Versions précédentes / Shadow Copies (si elles n'ont pas été supprimées)

Sur Windows, tu peux parfois restaurer des fichiers via :

• Clic droit sur un dossier > Propriétés > Versions précédentes.
• Historique des fichiers (si tu l'avais activé).

Beaucoup de ransomwares essaient de supprimer ces copies, mais ça vaut la peine de vérifier.

4) Récupération de fichiers supprimés (cas particuliers)

Dans certains scénarios, le Malware qui chiffre les fichiers puis exige une rançon (souvent en crypto) pour les déchiffrer.">ransomware crée un fichier chiffré puis supprime l'original. Un outil de récupération (type Recuva, PhotoRec) peut parfois retrouver des fragments, surtout si tu as arrêté rapidement la machine. Attention : plus tu utilises le disque, plus tu écrases les données récupérables.

5) Sauvegarder les fichiers chiffrés pour plus tard

Même si tu ne peux pas déchiffrer aujourd'hui, ne supprime pas les fichiers chiffrés. Archive-les sur un support externe : un déchiffreur peut apparaître plus tard, ou tu peux avoir besoin d'éléments pour une enquête/assurance.

Après l'incident : sécuriser ton PC pour éviter la récidive

Mesures essentielles (à mettre en place dès maintenant)

• Mises à jour : Windows Update + navigateur + logiciels (Java, Adobe, suites bureautiques...).
• Comptes : change tes mots de passe (mail en premier), active la 2FA partout où possible.
• Moins de droits admin : utilise un compte standard au quotidien.
• Protection : garde Microsoft Defender actif, et active la protection contre les ransomwares (Accès contrôlé aux dossiers) si compatible.
• Macros Office : désactive les macros par défaut, méfie-toi des documents "facture", "livraison", "urgent".
• RDP : si tu n'en as pas besoin, désactive le Bureau à distance. Sinon, protège-le (VPN, MFA, restrictions IP).

La règle d'or : la sauvegarde 3-2-1

Pour être serein :

• 3 copies de tes données,
• sur 2 supports différents (PC + disque externe/NAS),
• dont 1 hors ligne ou immuable (déconnectée ou stockage avec versioning).

Checklist express : quoi faire si tu suspectes un Malware qui chiffre les fichiers puis exige une rançon (souvent en crypto) pour les déchiffrer.">ransomware

• Isoler : coupe Internet + débranche les disques externes.
• Stopper : éteins si le chiffrement est en cours.
• Conserver des preuves : note de rançon, extensions, fichiers chiffrés.
• Nettoyer : scan Defender + second avis, ou réinstallation propre.
• Récupérer : sauvegarde, déchiffreur, versions précédentes, récupération.
• Renforcer : MAJ, mots de passe, 2FA, sauvegarde 3-2-1.

Conclusion

Face à un Malware qui chiffre les fichiers puis exige une rançon (souvent en crypto) pour les déchiffrer.">ransomware : détecter, isoler et récupérer ses fichiers repose sur une stratégie simple : agir vite pour limiter la propagation, assainir la machine avant toute restauration, puis utiliser la meilleure source de récupération (idéalement une sauvegarde). Si tu mets en place une sauvegarde 3-2-1 et quelques réglages de sécurité Windows, tu réduis drastiquement le risque de revivre ce scénario.