Après une attaque informatique (rançongiciel, tentative d’extorsion, piratage de données confidentielles ou intrusion sur le réseau de votre entreprise ou domicile), la tentation immédiate est souvent de redémarrer la machine, lancer un utilitaire gratuit de nettoyage ou supprimer les fichiers suspects. C’est pourtant la première erreur fatale qui compromet l’identification de l’attaque et la recevabilité des preuves devant la justice ou votre cyber-assurance.
Dans le domaine de la réponse à incident et de l’analyse forensique, il est impératif de figer et préserver l’ensemble des traces numériques avant toute remédiation.
Qu’est-ce qu’une copie physique (ou clone bit-à-bit) ?
Une simple copie de dossiers effectuée par un copier-coller sous Windows, Linux ou macOS ne constitue en aucun cas une preuve intègre :
- Elle modifie les horodatages critiques (dates de création, d’accès et de modification, appelées métadonnées MACb).
- Elle ignore totalement l’espace non alloué du disque (où résident souvent les traces d’outils malveillants effacés par l’attaquant).
- Elle n’extrait ni les artefacts système cachés, ni les journaux d’événements bas niveau (logs), ni la table des partitions.
À l’inverse, la copie physique forensique (ou image brute bit-à-bit) consiste à dupliquer chaque secteur du support de stockage d’origine (disque dur, SSD, poste de travail ou serveur) vers un support récepteur vierge contrôlé. Cette acquisition s’effectue systématiquement à travers un bloqueur d’écriture matériel (Write-Blocker), garantissant qu’aucun octet du support original ne puisse être modifié au cours de l’opération.
La valeur probante et la chaîne de traçabilité (Chain of Custody)
Pour qu’un constat technique facilite votre dépôt de plainte auprès de la Police, de la Gendarmerie ou dans le cadre d’un accompagnement Cybermalveillance.gouv.fr, la préservation numérique s’appuie sur trois principes rigoureux :
- Calcul d’empreinte cryptographique (Hash) : Dès l’acquisition, une empreinte numérique unique (SHA-256) est calculée sur le support source puis vérifiée sur l’image clonée afin d’attester leur identité parfaite au bit près.
- Traçabilité documentée : Numéros de série des supports, horodatages d’acquisition et conditions matérielles sont consignés avec précision.
- Investigation sur copie uniquement : Toutes les analyses de compromission (recherche de malwares, spyware, portes dérobées et récupération de fichiers) sont menées exclusivement sur le clone au sein de mon laboratoire isolé, laissant le support d’origine intact.
Les 4 réflexes d’urgence avant l’intervention
Si vous constatez un chiffrement de fichiers, une demande de rançon ou une activité suspecte sur un poste ou un serveur :
- ❌ N’éteignez pas brutalement la machine sans avis technique si elle est allumée : des éléments décisifs résident en mémoire vive (RAM).
- 🔌 Isolez immédiatement l’équipement du réseau : débranchez le câble Ethernet RJ45 et coupez le Wi-Fi pour stopper la propagation latérale et couper le lien avec le serveur de commande attaquant (C2).
- 🚫 Ne branchez aucun support externe non protégé (clé USB, disque de sauvegarde) : le rançongiciel pourrait chiffrer vos sauvegardes instantanément.
- 📞 Contactez rapidement un spécialiste référencé afin de figer les preuves avant remise en service sécurisée.
Intervention rapide en Alsace et dans le Grand Est
En tant que prestataire référencé sur Cybermalveillance.gouv.fr, Science Edu Agency intervient auprès des entreprises, collectivités, associations et particuliers à Soultz-sous-Forêts, Haguenau, Strasbourg et dans tout le Grand Est pour sécuriser vos supports, réaliser vos copies physiques sous bloqueur d’écriture et vous accompagner dans vos démarches.