Poste ou serveur infecté ?
On assainit.
Malware détecté, ralentissements inexpliqués, connexions sortantes suspectes, cheval de Troie repéré par l'antivirus : que ce soit un poste de travail ou un serveur de production, on isole la machine, on identifie le vecteur d'infection et on assainit, par nos propres moyens, sans sous-traitance. Intervention sur site dans un rayon de 50 km autour de Maxéville (Nancy, Metz, Grand Est).
Urgence : 01 86 99 83 55. Réponse rapide par mail. Intervention sur site dans un rayon de 50 km (Nancy, Metz, Grand Est).
Poste de travail ou serveur : deux enjeux différents
Un poste de travail infecté et un serveur de production infecté n'appellent pas la même réponse. Le diagnostic commence toujours par cette distinction.
Poste de travail infecté
Un poste compromis (ordinateur d'un salarié, portable nomade) est rarement la cible finale de l'attaque. Dans la plupart des cas, c'est une tête de pont : l'attaquant s'en sert pour voler des identifiants, rebondir vers le réseau de l'entreprise, ou préparer une attaque plus large. L'urgence est de couper son accès au réseau avant que l'infection ne se propage.
Serveur de production infecté
Un serveur touche potentiellement tout le système d'information : bases de données, applications métier, sauvegardes accessibles depuis le même réseau. L'indisponibilité du service et le risque d'atteinte à des données personnelles sont immédiats. La question centrale, dès le diagnostic : la machine peut-elle être nettoyée en confiance, ou doit-elle être reconstruite ?
Les signes d'une infection
Une infection ne se signale pas toujours par un message explicite. La plupart du temps, ce sont des signaux indirects qui doivent alerter.
Lenteurs et processus inconnus
Un poste ou un serveur qui ralentit brutalement, un gestionnaire des tâches qui affiche un processus inconnu consommant CPU ou mémoire de façon anormale.
Connexions sortantes suspectes
Des connexions réseau régulières vers une adresse inconnue peuvent signaler un canal de commande et contrôle (C2), par lequel l'attaquant pilote la machine à distance.
Antivirus ou EDR désactivé
La protection signalée comme désactivée, arrêtée, ou incapable de se relancer : un réflexe fréquent des malwares pour agir sans être détectés.
Comptes et tâches planifiées inconnus
Un compte utilisateur créé sans explication, une tâche planifiée inconnue qui se déclenche à intervalle régulier : des signes classiques de persistance installée par l'attaquant.
Dans l'heure qui suit : les bons réflexes
Les premiers gestes conditionnent la possibilité de comprendre l'attaque, d'identifier ce qui a pu être atteint, et d'éviter qu'elle ne se reproduise.
Isoler la machine du réseau, sans l'éteindre
Débranchez le câble réseau ou désactivez le Wi-Fi pour couper la communication avec l'attaquant. N'éteignez pas la machine : la mémoire vive contient souvent des informations décisives pour identifier le malware et son mode opératoire.
Prévenir la direction sans délai
L'incident dépasse le périmètre technique : sur un serveur de production, l'arrêt d'un service impacte l'activité, et si des données personnelles sont concernées, notification CNIL et dépôt de plainte sont des décisions à arbitrer immédiatement.
Nous contacter
Décrivez brièvement la situation à [email protected] (poste ou serveur concerné, signes observés, données potentiellement accessibles depuis la machine). On qualifie l'urgence et on organise l'intervention.
Conserver les preuves
Captures d'écran des processus et connexions suspectes, journaux disponibles : ne rien supprimer. Ces éléments sont utiles à l'analyse et, le cas échéant, à un dossier CNIL ou à un dépôt de plainte.
Ne rien restaurer avant d'avoir identifié le vecteur
Réinstaller ou restaurer une sauvegarde sans savoir comment l'attaquant est entré (pièce jointe piégée, service exposé, dépendance logicielle compromise) expose à une réinfection en quelques heures.
Ce qu'il ne faut surtout pas faire
Des réflexes bien intentionnés peuvent aggraver la situation ou détruire des preuves utiles à l'analyse.
Notre méthode d'assainissement
Une méthode structurée en cinq temps, adaptée à la nature de la machine touchée et au vecteur d'infection identifié. Réalisée par nos propres ingénieurs, sans sous-traitance.
Confinement réseau de la machine infectée, sans extinction, pour stopper la propagation et préserver les preuves en mémoire.
Copie de l'état compromis, journaux d'accès, artefacts mémoire et disque : nécessaire pour comprendre l'attaque et documenter l'incident.
Pièce jointe piégée, service exposé sur Internet, dépendance logicielle compromise : on remonte jusqu'au point d'entrée, pas seulement au symptôme visible.
Sur un poste, un nettoyage ciblé suffit souvent. Sur un serveur compromis en profondeur, la reconstruction depuis une image saine est plus fiable qu'un nettoyage : l'absence de persistance résiduelle n'est jamais garantie à 100 % sur un système visité par un attaquant.
Mise à jour des systèmes, MFA, révision des accès, journalisation renforcée, pour empêcher le même vecteur de fonctionner une seconde fois.
Questions fréquentes
Les questions qu'on entend le plus souvent au moment de l'incident.
Chaque heure compte. Contactez-nous maintenant.
Isolement, analyse forensic, éradication ou reconstruction, durcissement : intervention sur site, rayon 50 km (Nancy, Metz, Grand Est). Par nos moyens propres, sans sous-traitance.
Réponse rapide par mail. Urgence : 01 86 99 83 55.