Tout d'abord, déterminez quelle variante de ransomeware vous a frappé. En fonction de celui-ci, vous pouvez avoir plus d'options.

Comme @Ohnana l'a généralement dit, les opérateurs de ransomware sont fidèles à leur parole, c'est dans leur intérêt après tout. Si l'on apprenait que certains groupes n'ont jamais autorisé le déchiffrement des données, ils cesseraient de recevoir de l'argent de leurs victimes.

Cela étant dit, je suggérerais qu'il est important avant de payer d'essayer de déterminer lequel variante dont vous êtes devenu victime. Il existe des outils de décryptage disponibles gratuitement pour plusieurs variantes, et il y a au moins une variante documentée qui contient un bogue qui rend le décryptage impossible.

Une fois que vous avez déterminé quelle variante vous avez, vous pourrez rechercher rapidement ce que vous pouvez attendre du processus de décryptage, et si vous pouvez le faire en utilisant un outil gratuit plutôt qu'en payant l'opérateur du ransomware.

En tant que consultant informatique respectable, vous ne devriez jamais recommander de payer un ransomware. Si cela échoue, vous serez blâmé. Si cela fonctionne, vous ne serez pas blâmé de l'avoir recommandé, car l'entreprise sait qu'elle joue et qu'elle a été négligente pour l'avoir laissé se produire. Et recommander de faire du chantage à un criminel ternit votre image. Je n'utiliserais jamais un plombier ou un mécanicien qui recommanderait de payer un chantage criminel, car je suppose qu'ils étaient de mèche avec les criminels. Si vous êtes un consultant informatique, vous avez accès aux mots de passe uniques de cette entreprise et autres, et - à moins qu'ils ne violent une règle interne interdisant de faire quelque chose sur leur réseau - VOUS êtes en partie responsable de ce qui se passe.

Il y a plusieurs autres choses que vous devez savoir à ce sujet également:

1. Les criminels vont installer une porte dérobée pour qu'ils puissent à nouveau fusiller la victime dans les 6 prochains mois. Payer un ransomware ne «restaure» pas la configuration. La configuration a été interrompue car ils sont entrés. L'entreprise doit encore complètement démolir et reconstruire le réseau correctement pour que cela ne se reproduise plus à l'avenir.

2. Les auteurs de ransomwares passent BEAUCOUP de temps sur les blogs et publient de fausses histoires sur la façon dont les entreprises ont restauré leurs fichiers rapidement et facilement en payant. Cela ne signifie pas qu'aucun de ces criminels ne restaure jamais des fichiers après avoir été payé. Cela signifie que comme ils utilisent tous de faux noms de toute façon, ils n'ont aucune réputation à perdre en ne restaurant PAS les fichiers et vous ne pouvez pas faire confiance à ces histoires apocryphes.

3. Les entreprises victimes d'escroquerie ne veulent JAMAIS en parler. Récemment, un de mes clients a été victime d'une arnaque via une simple escroquerie par e-mail / virement bancaire de 20000 $. Ils m'ont supplié de ne pas mentionner leur nom sur les forums publics. Ce même client a été victime d'une attaque Cryptolocker il y a environ un an en raison de l'ignorance de mes conseils sur la sécurité du réseau, et ils m'ont également demandé de payer - je leur ai dit de NE PAS le faire - et j'ai restauré à partir de leurs sauvegardes. Ils n'ont pas payé et ils n'ont pas perdu de fichiers. Et ils ont réprimé leurs employés et ont commencé à faire ce que je leur disais de faire depuis un certain temps. Malheureusement, ils ne m'ont jamais expliqué comment ils géraient les virements électroniques, donc je ne pouvais pas dire comment ils le faisaient.

4. Cette victime fonctionne sous l'hypothèse que c'est une sorte de transaction commerciale, qu'ils ont en fait le choix entre payer un peu maintenant pour récupérer leurs fichiers ou payer plus pour récupérer leurs fichiers de la sauvegarde. C'est une illusion et le fait qu'ils envisagent même cela montre à quel point ils sont partis - et montre d'ailleurs à quel point le travail que vous avez fait pour les conseiller est pauvre . La réalité ici est qu'ils envisagent de payer quelqu'un qui n'est pas identifié, qui n'a absolument aucune réputation à perdre, n'a aucune incitation à restaurer ses fichiers - et, en fait, est incité à NE PAS restaurer ses fichiers parce que plus le criminel fait de travail pour aider. la victime, plus elle a de chances d'être arrêtée.

Le criminel ne sait pas à qui il a affaire - il ne sait pas s'il a affaire à une vraie entreprise ou une société écran qui a été créée par les forces de l'ordre pour les arrêter. La règle ici est que moins ils s'engagent avec la victime, plus c'est sûr pour eux. Une fois qu'ils reçoivent de l'argent s'ils traînent pour «aider», ils ont plus de chances de se faire prendre.

Pour Cryptowall classique, le virus lui-même atteindra généralement le C2C, récupérera la clé privée et commencera le processus de déchiffrement. Il existe également un outil autonome qui est préchargé avec une clé de décryptage qui, à nouveau, commence automatiquement le décryptage. La plupart des programmes de ransomware rendront le processus de rançon aussi indolore que possible.

Le FBI a noté que bon nombre de ces opérateurs de ransomwares sont honnêtes - ils veulent que les gens les paient, donc assez ironiquement, il en résultera leur part du marché (?) dans le meilleur résultat.

Aussi, un autre conseil étrange - reportez-vous à la documentation du virus. Un programme de ransomware échoue si vous ne savez pas comment récupérer vos fichiers!

Il y a des rapports de personnes ayant récupéré leurs fichiers, cependant

• d'autres personnes ont signalé avoir demandé un deuxième paiement - inattendu - après cela (pas si surprenant, étant donné que c'est une extorsion)

• ou simplement dépenser de l'argent et ne pas récupérer leurs fichiers

Il est même possible que les criminels eux-mêmes ne sont pas en mesure de les décrypter. Peut-être que l'utilisateur a réussi à se chiffrer deux fois, son chiffreur est bogué, son outil de "récupération" corrompt encore plus le fichier chiffré, il peut y avoir eu un problème de réseau lors de l'envoi de la clé au C&C, leur serveur a été saisi ... Certains Les familles de ransomwares fournissent le décryptage gratuit d'un seul fichier pour prouver qu'elles en sont capables. À utiliser judicieusement

Notez également qu'en fonction de votre emplacement, il peut être illégal de payer la rançon (vous financez des criminels).

Je préfère payer un AV pour récupérer les fichiers plutôt que les criminels. Cela peut même être gratuit si vous avez installé leur marque. Voir par exemple Dr Web

Je trouve également intéressante l'affirmation selon laquelle l'entreprise a décidé que payer la rançon était moins cher que de reconstruire et d'essayer de récupérer . Même si vous payez la rançon et récupérez vos fichiers (ce qui est au moins douteux), vous devez reconstruire la structure infectée. Comment allez-vous faire confiance à la machine qu'ils ont réussi à infecter? De plus, ils doivent prendre des mesures pour que cela ne se reproduise plus. Et dans ce cas, ils ne savent même pas comment ils les ont infectés!

Il est surprenant de découvrir des entreprises qui ont été victimes de cryptolockers ... seulement pour être réinfectées quelques mois plus tard, et toujours sans récupération

Le simple fait de ne pas pouvoir récupérer les fichiers à partir des clichés instantanés signifie que le virus a réussi à les désactiver, ce qui conduit à la question Pourquoi vos utilisateurs fonctionnaient-ils en tant qu'administrateur?

Ou ne pas avoir de plan de sauvegarde (fonctionnel), ce qui peut enfreindre les réglementations nationales.

Vous ne pouvez pas simplement décider de payer et cacher les problèmes sous le tapis . Si vous êtes touché par un ransomware et que vous ne parvenez pas à récupérer et à travailler en quelques heures (quelques jours au maximum), vous avez un gros problème. Comme ils ont découvert le mauvais chemin.

Fournir à cette question des informations à jour.

Interpol s'est associé à la police néerlandaise, à Kaspersky et à Intel Security pour fournir un site où les victimes de ransomware peuvent trouver des outils pour décrypter leur kidnappé fichiers gratuitement: Plus de rançon .

C'est la meilleure option pour avoir une chance de récupérer vos fichiers; comme déjà dit, payer la rançon ne vous garantit pas de récupérer vos fichiers et vous oblige en même temps à soutenir des activités criminelles.

Je voudrais ajouter quelques points:

• Une fois que vous avez décidé de payer, ne perdez pas trop de temps. Je ne vous conseille pas de jeter l'argent de votre client sans lui faire attention au préalable, mais attendre encore un mois pour qu'un outil gratuit apparaisse est un mauvais plan: il y a de fortes chances que les escrocs disparaissent ou se font prendre, et vos données peuvent être perdu à jamais.
• Vous n'avez pas l'air de représenter une entreprise qui a de l'argent à dépenser: cela augmentera les chances qu'un deuxième paiement soit demandé. Et si un test de décryptage gratuit vous est proposé, n'envoyez aucun fichier lié à l'entreprise. Faire semblant d'être une petite entreprise ou une personne privée cherchant à récupérer vos photos fonctionne beaucoup mieux:

Le L'image est tirée de cet article qui décrit, entre autres, ce qui se passe lorsque vous décidez de payer.