Assistance ransomware

Réponse rapide

Commencez par la liste des outils gratuits de No More Ransom : si un outil existe pour votre famille, essayez-le d'abord, sur des copies de vos fichiers. Voici ensuite ce que permettent mes analyses. Si vous ne connaissez pas encore la famille, commencez par la reconnaître ; si elle n'est pas dans le tableau, voyez la fin de la page.

« Un vrai fichier chiffré » : un fichier produit par le ransomware lui-même. « Vrai code, en émulation » : le code du ransomware a tourné dans un émulateur, un logiciel qui imite un processeur, sur un fichier de test et pas sur une vraie machine. « Données de test » ou « disques de test » : des fichiers ou des disques que j'ai chiffrés moi-même en reproduisant l'algorithme du ransomware. Dans ces trois derniers cas, la méthode n'a pas encore servi sur un fichier de victime.

Reconnaître la famille

La note de rançon et l'extension ajoutée aux fichiers suffisent souvent. Le service gratuit ID Ransomware identifie la famille à partir d'une note ou d'un fichier chiffré. N'y envoyez pas de fichier qui contient des données personnelles : le service prévient que les fichiers qu'il ne reconnaît pas peuvent être partagés avec des analystes.

Le détail, famille par famille

Cl0p

Ce qui se récupère. Sur le seul exécutable Windows étudié (vu en novembre 2020 et signé d'un faux certificat « Insta Software Solution Inc. », comme d'autres exemplaires de fin 2019 à 2021 qui n'ont pas été vérifiés), la clé de chaque fichier est tirée d'un générateur de nombres qui part du temps écoulé, en millisecondes, depuis le démarrage de Windows. En principe, on peut donc la retrouver par calcul, d'autant plus vite que l'on connaît l'heure du chiffrement et celle du dernier démarrage de la machine. Le générateur peut repartir d'une nouvelle valeur pour chaque fichier : il faudra peut-être un calcul par fichier. Sans ces heures, le calcul peut prendre des jours, voire des semaines, sur un seul processeur.

Testé sur. Des données de test : l'algorithme reproduit a chiffré un texte, puis l'a retrouvé. Aucun fichier chiffré par Cl0p n'a été déchiffré et il n'y a pas d'outil prêt. Les versions récentes, qui volent surtout des données, ne sont pas couvertes. Le seul outil public connu vise la variante Linux (SentinelLabs, 2023).

À m'envoyer. L'exécutable s'il a été retrouvé, ou au moins son empreinte SHA-256 ; deux ou trois fichiers chiffrés complets, sans données personnelles ; la note ; la liste des fichiers chiffrés avec leur date et leur heure de modification ; l'heure du démarrage de la machine (si elle n'a pas redémarré depuis, la commande systeminfo l'affiche).

Le billet Cl0p

Crytox

Ce qui se récupère. Sur la version de 2021 étudiée (fichiers en .waiting), la clé du premier fichier chiffré se déduit d'une seule valeur : le temps écoulé, en millisecondes, depuis le démarrage de Windows. On peut la chercher par calcul : au pire trois à quatre jours sur un seul processeur, beaucoup moins si l'on connaît le temps écoulé entre le dernier démarrage et le chiffrement. Chaque fichier suivant dépend du précédent et d'une nouvelle valeur : il faut reprendre les fichiers dans l'ordre où ils ont été chiffrés, en partant du premier, ce qui n'a pas encore été testé. Il faut aussi, très probablement, l'exécutable : un paramètre du calcul est lu dans sa configuration et change sans doute d'un exemplaire à l'autre. Le ransomware efface les journaux d'événements de Windows, où l'heure du démarrage est d'habitude notée.

Testé sur. Le générateur de clé a été validé contre le vrai code, en émulation ; la récupération, seulement sur un fichier de test. Aucun vrai fichier .waiting n'a été déchiffré et il n'y a pas d'outil prêt. L'emplacement d'une des données de chiffrement dans les fichiers (le vecteur d'initialisation) n'est pas encore établi. La version de 2025 (.wait) n'est pas étudiée.

À m'envoyer. L'exécutable, très probablement indispensable (il s'efface de la machine touchée : regardez la quarantaine de l'antivirus et les autres machines touchées) ; la liste des fichiers chiffrés avec leur date et leur heure de modification ; trois à cinq fichiers chiffrés sans données personnelles, copiés sans modification, dont les plus anciens ; la note ReadMe.hta dans une archive, sans l'ouvrir ; l'original d'un de ces fichiers, si vous l'avez dans une sauvegarde.

Le billet Crytox

HybridPetya

Ce qui se récupère. Sur un PC qui démarre en UEFI, ce qui est le cas de la plupart des PC récents, HybridPetya installe un bootkit, un programme qui se lance avant Windows. Au démarrage suivant, ce bootkit chiffre la table qui répertorie les fichiers du disque ($MFT), et il chiffre chaque bloc de cette table exactement de la même façon. Mon outil s'appuie sur cette erreur pour remettre la table en état sans la clé. Les fichiers chiffrés un par un sous Windows, eux, ne se déchiffrent pas sans la clé des attaquants. Ce chiffrement a lieu à chaque infection, sur environ 235 types de fichiers : remettre le disque en état ne les rend pas lisibles. Au-delà de 50 Mo, seuls les 5 premiers Mo de chaque fichier sont chiffrés, le reste est intact.

Testé sur. Six scénarios sur de petits disques de test (de 64 à 384 Mo, plus une image Windows XP), que j'ai chiffrés en reproduisant la logique du bootkit : le vrai bootkit n'a pas été lancé. Pas encore sur un disque de victime ni sur une grande partition. La variante Secure Boot n'est pas étudiée. Pour les disques MBR des PC qui démarrent en BIOS, je n'ai pas d'outil, mais le défaut de NotPetya s'y retrouve : les méthodes publiées pour NotPetya devraient permettre une récupération partielle, que je n'ai pas essayée. ESET n'a observé aucune attaque réelle avec cette famille.

À m'envoyer. Ne démarrez plus la machine sur son disque. Envoyez une photo de l'écran affiché, le type de machine (UEFI ou BIOS, Secure Boot et BitLocker actifs ou non) et, sur un disque GPT, les petits fichiers config, verify et counter du dossier \EFI\Microsoft\Boot\, copiés en branchant le disque sur une autre machine, en lecture seule. Si vous ne savez pas le faire, écrivez-moi avant d'essayer.

Le billet HybridPetya · le guide technique (texte brut, pour la personne qui gère vos machines)

INC Ransom

Ce qui se récupère. Rien, à ce jour. Les exécutables étudiés utilisent une clé des attaquants différente pour chaque victime, et je n'y ai pas trouvé de faiblesse exploitable. Je peux confirmer la famille et, si l'exécutable qui a chiffré vos fichiers est retrouvé, identifier sa version pour les enquêteurs. Les outils publiés avec le billet déchiffrent des programmes et des échanges réseau des attaquants, jamais vos fichiers.

À m'envoyer. La note INC-README.txt et, s'il a été retrouvé, l'exécutable dans une archive protégée.

Le billet INC Ransom · le guide de détection de la campagne étudiée (texte brut)

InfernoGrabber

Ce qui se récupère. Rien à ce jour : je n'ai pas étudié son code de chiffrement. Ce ransomware passe par une page web qui obtient l'accès à un dossier dans Chrome ou Edge. Les fichiers de ce dossier ont pu être envoyés à l'attaquant avant d'être chiffrés : traitez-les comme une fuite de données. D'après Check Point, l'échantillon connu ne va pas toujours au bout, même si son chiffrement fonctionne, et aucune attaque réelle n'est connue. Restaurez depuis vos sauvegardes ou depuis l'historique des versions de votre service de synchronisation (OneDrive, Google Drive ou Dropbox, par exemple).

Le billet InfernoGrabber

InterLock

Ce qui se récupère. Sur les 7 versions étudiées (5 pour Windows, compilées d'octobre 2024 à mars 2025, et 2 pour FreeBSD), la clé de chaque fichier dépend d'un nombre de départ de 32 bits et du temps écoulé, en millisecondes, entre le lancement du ransomware et le chiffrement du fichier. Il faut chercher les deux par calcul. C'est long, bien plus encore si l'on ne connaît pas l'heure de lancement, et la méthode ne vise pour l'instant que les versions Windows.

Testé sur. Des données de test. Aucun fichier chiffré par InterLock n'a été déchiffré et il n'y a pas d'outil prêt. Les versions plus récentes ne sont pas étudiées.

À m'envoyer. L'exécutable ou son empreinte SHA-256, pour savoir s'il fait partie des 5 versions Windows étudiées ; l'extension exacte, recopiée caractère par caractère ; deux ou trois fichiers chiffrés complets, sans données personnelles, copiés tels quels avec leur nom (la clé chiffrée est à la fin de chaque fichier, et le nom d'origine indique le type de fichier) ; la date et l'heure de modification de ces fichiers, et l'heure de lancement du ransomware si un journal ou l'antivirus l'a notée.

Le billet InterLock

NailaoLocker

Ce qui se récupère. Peut-être. L'exécutable étudié (empreinte SHA-256 commençant par 46f3029f) contient en clair la clé privée qui permet de déchiffrer les clés des fichiers, et cette clé est valide. Mais aucun fichier chiffré par NailaoLocker n'a encore été déchiffré : mon essai n'a réussi qu'après la correction d'une erreur due à mon propre émulateur, et FortiGuard rapporte un échec avec cette clé.

Testé sur. Le vrai code du ransomware, en émulation, sur un fichier de test, après cette correction.

À m'envoyer. L'exécutable ou son empreinte SHA-256 : c'est lui qui contient la clé. Deux ou trois fichiers .locked complets, sans les renommer ni les ouvrir, sans données de patients ni données personnelles, et si possible l'original de l'un d'eux.

Le billet NailaoLocker · le guide technique (texte brut)

NightSpire

Ce qui se récupère. Une partie des gros fichiers. Dans un fichier chiffré en plusieurs morceaux (image de machine virtuelle, ISO, sauvegarde), tous les morceaux sont chiffrés exactement de la même façon. Si l'on connaît le contenu d'un morceau, on peut lire les autres morceaux du même fichier. Rien pour les fichiers de moins de 1 Mo, chiffrés d'un seul morceau. L'analyse porte sur des versions vues jusqu'en janvier 2026.

Testé sur. Des données de test, et un essai de la routine de chiffrement du vrai code, en émulation. Pas sur un fichier de victime.

À m'envoyer. La note et l'extension ; l'exécutable ou son empreinte SHA-256 ; la liste des plus gros fichiers chiffrés, avec leur extension et leur taille. Si vous avez une ancienne copie non chiffrée de l'un de ces gros fichiers (sauvegarde, modèle de machine virtuelle, ISO d'origine), dites-le sans l'envoyer : je vous dirai quel morceau en extraire.

Le billet NightSpire · le guide technique (texte brut)

Prince

Ce qui se récupère. Une partie, sans clé. Les exécutables fabriqués avec le kit de création Prince, sans modification, ne chiffrent qu'un octet sur trois : les deux autres restent lisibles, à leur place. C'est utile pour du texte, des journaux ou des exports CSV. Un fichier Word, Excel ou PDF, une photo ou une base de données ne s'ouvriront pas tels quels. Le tiers chiffré, lui, demande la clé des attaquants. Deux projets dérivés (EByte-Ransomware et GoConti) n'ont pas été vérifiés. Pour savoir si vous êtes dans ce cas, ouvrez la copie d'un fichier texte chiffré dans un éditeur : si des morceaux de mots apparaissent, c'est bon signe.

Testé sur. L'analyse du code de trois échantillons fabriqués avec ce kit, publié sur GitHub puis retiré, et des données de test. Pas sur un fichier de victime.

À m'envoyer. La note ; le nom complet de quelques fichiers chiffrés ; deux ou trois petits fichiers chiffrés sans données personnelles, puisqu'avec cette famille deux octets sur trois restent lisibles.

Le billet Prince · le guide technique (texte brut)

Prinz Eugen

Ce qui se récupère. Vérifiez d'abord si vos fichiers d'origine sont encore là : le programme ne les supprime que si l'attaquant le demande. Pour les fichiers chiffrés, tout se récupère en principe s'ils viennent de l'exemplaire que j'ai analysé : son mot de passe est écrit dans l'exécutable, et un seul fichier chiffré suffit pour le vérifier. Un autre exemplaire a sans doute un autre mot de passe, et rien ne garantit qu'il soit lui aussi écrit dans l'exécutable : il faut retrouver cet exécutable pour le savoir. Il s'efface après usage : cherchez-le dans la quarantaine de l'antivirus et sur les autres machines touchées.

Testé sur. Un vrai fichier chiffré par l'exemplaire analysé et fourni avec lui : un petit fichier texte, 13 octets une fois déchiffré. Les fichiers de plus de 1 Mo et les autres exemplaires ne sont pas encore vérifiés.

À m'envoyer. Deux ou trois fichiers .prinzeugen sans données sensibles, dont un de plus de 1 Mo si possible, et l'exécutable s'il a été retrouvé, dans une archive protégée.

Le billet Prinz Eugen

Qilin

Ce qui se récupère. Rarement. Sur 67 échantillons publics étudiés, 4 exécutables Windows de 2025 (la petite version, d'environ 2,3 Mo) contiennent par erreur leur clé privée, propre à leur campagne. Pour ces 4 exécutables, les fichiers devraient pouvoir se déchiffrer, mais aucun vrai fichier ne l'a encore montré. Rien n'a été trouvé dans les autres versions : celle d'environ 5 Mo (sa configuration est chiffrée), les DLL, Linux et ESXi.

Testé sur. Des fichiers de test chiffrés selon le format décrit publiquement, puis déchiffrés par mon outil. Le déchiffreur n'a jamais servi sur un vrai fichier Qilin, deux points du format restent à confirmer, et les fichiers de plus de 100 Mo environ ne sont pas gérés.

À m'envoyer. L'exécutable qui a chiffré vos machines : c'est lui qui dit si vous faites partie des 4 cas, son empreinte SHA-256 dit seulement s'il fait partie des 4 exécutables déjà connus. Il peut contenir en clair des identifiants de votre domaine : changez ces mots de passe. Deux ou trois fichiers chiffrés de moins de 100 Mo, sans données sensibles, et la note.

Le billet Qilin

RagnarLocker

Un outil public existe. Le Ragnar Decryptor de la KISA, l'agence coréenne de l'Internet et de la sécurité, disponible sur No More Ransom, demande un fichier chiffré et son original, d'au moins 10 Mo chacun. Essayez-le d'abord, sur des copies.

Ce qui se récupère. Sur l'exécutable soumis le 3 août 2020, qui n'est pas protégé contre l'analyse (les autres exécutables de l'été 2020 n'ont pas été vérifiés), tous les fichiers chiffrés par un même lancement du programme, en pratique sur une même machine, le sont exactement de la même façon. L'original non chiffré d'un fichier touché (sauvegarde, pièce jointe, document public) permet donc de relire le début des autres fichiers chiffrés sur la même machine, au plus sur la longueur de cet original. Pour les gros fichiers, la part récupérable n'a pas été mesurée. La version d'octobre 2020 n'a plus ce défaut, et la version de fin 2020, protégée contre l'analyse, n'a pas été étudiée sous cet angle. Le groupe a été démantelé en octobre 2023.

Testé sur. Des données de test, jamais sur de vrais fichiers chiffrés.

À m'envoyer. La note avec son nom exact ; trois à cinq fichiers chiffrés sur la même machine, sans données personnelles, dont deux du même type ; l'original de l'un d'eux si vous l'avez.

Le billet sur l'exécutable d'août 2020 · le billet sur la version protégée

Trigona

Ce qui se récupère. Une partie, peut-être, et seulement si les fichiers ont été chiffrés en entier. Dans ce cas, chaque bloc de 1 Mo d'un fichier est chiffré exactement de la même façon : connaître un morceau d'un bloc permet de lire le même morceau dans les autres blocs du fichier. Mais d'après Zscaler, Trigona ne chiffre par défaut que les 512 premiers Ko de chaque fichier : la méthode ne marche alors pas, et la suite d'un gros fichier n'est peut-être pas chiffrée du tout. Deux ou trois fichiers suffisent pour le voir.

Testé sur. Des données de test. La faille est confirmée dans le code de 2 des 4 échantillons étudiés (2023 et 2026).

À m'envoyer. Deux ou trois fichiers chiffrés de plus de 2 Mo, choisis parmi les moins sensibles et copiés tels quels (la fin du fichier doit rester intacte) ; le type de chaque fichier ; une version non chiffrée du même fichier ou d'un fichier très proche, si vous en avez une ; l'exécutable ou son empreinte SHA-256, avec sa ligne de commande si l'antivirus l'a gardée, car elle dit si le chiffrement complet a été demandé ; la note how_to_decrypt.hta, sans l'ouvrir, par un lien de partage, car les messageries bloquent souvent ce type de fichier, même dans une archive.

Le billet Trigona

Pour un premier avis

1. Écrivez-moi d'abord, sans pièce jointe, à ozer0x777 [at] reversing.re. Donnez le nom du groupe s'il figure dans la note, l'extension ajoutée aux fichiers, la date et l'heure de l'attaque et les systèmes touchés (Windows, Linux, ESXi). Je vous dis si une de mes analyses couvre ce cas. Si je peux vous aider, je vous envoie par e-mail les conditions de cette aide : n'envoyez aucun fichier avant de les avoir acceptées.
2. Après votre accord, envoyez le minimum indiqué plus haut pour votre famille. En général : la note de rançon, l'exécutable s'il a été retrouvé (à défaut, son empreinte SHA-256, une suite de 64 caractères qui identifie le fichier et que votre informaticien peut calculer), deux ou trois fichiers chiffrés sans données personnelles et, si possible, l'original de l'un d'eux tiré d'une sauvegarde.
3. Mettez la note et l'exécutable dans une archive ZIP protégée par le mot de passe infected, sans autre archive à l'intérieur. Ce mot de passe, connu de tous, évite qu'un antivirus bloque l'exécutable ou qu'on l'ouvre par erreur ; il ne protège pas le contenu. Les fichiers qui contiennent des données personnelles, même seulement dans leur nom, vont dans une autre archive, au format 7z, chiffrée avec un mot de passe que vous choisissez et avec l'option qui chiffre aussi les noms de fichiers ; donnez-moi ce mot de passe par un autre moyen que l'e-mail. Si votre messagerie refuse les archives protégées, ou au-delà de 10 Mo, passez par un lien de partage limité dans le temps.
4. N'envoyez pas d'image disque : gardez-la, je vous dirai quoi en extraire.

Comment ça se passe

• Je confirme la réception, puis je vous dis ce que je peux établir : la famille, la version quand l'exécutable ou les fichiers le permettent, et si vos fichiers peuvent être récupérés en totalité, en partie ou pas du tout, avec la raison.
• Si c'est possible, je fais d'abord l'essai sur un ou deux de vos fichiers, toujours sur des copies. Selon la famille et ce que l'on sait des heures de chiffrement et de démarrage, le calcul prend de quelques secondes à plusieurs semaines sur un seul processeur.
• Vous recevez un compte rendu écrit : la famille et la version identifiées, les empreintes SHA-256 des fichiers examinés, ce qui se récupère et ce qui ne se récupère pas, les essais faits et leurs limites. Il décrit ce que j'ai constaté sur les copies reçues, à sa date : ce n'est pas une expertise de votre système. Je peux travailler avec le prestataire désigné par votre assureur.
• Ce n'est pas une permanence 24 heures sur 24. En cas d'urgence, passez aussi par votre assureur ou par 17Cyber.

Le cadre de cette aide

Ces conditions s'appliquent à toute demande que j'accepte. Je vous les envoie par e-mail et je ne commence qu'après votre accord écrit. N'envoyez aucun fichier avant cet accord : si j'en reçois, je ne les ouvre pas et je vous envoie d'abord ces conditions.

• Gratuite. J'agis à titre personnel. Je ne demande et n'accepte aucune contrepartie, ni paiement ni service en retour, et mon aide ne dépend jamais d'un accord pour publier quoi que ce soit. Je peux refuser une demande. Vous comme moi pouvons arrêter à tout moment, en prévenant l'autre par e-mail : si j'arrête, je vous transmets ce que j'ai déjà constaté, puis j'efface vos fichiers ou je vous les rends, à votre choix.
• Sans garantie de résultat. Si j'accepte votre demande, je fais l'analyse avec soin, en l'état de mes connaissances : c'est une obligation de moyens, pas de résultat. Je ne promets ni récupération ni délai, même après un essai réussi sur un ou deux fichiers. Une récupération dépend de la version exacte qui vous a touché.
• Sur des copies, jamais sur vos systèmes. Je travaille uniquement sur les copies que vous m'envoyez. Je ne me connecte ni à vos machines ni à votre réseau, et je ne vous demande aucun accès.
• Vos décisions. Mon avis porte uniquement sur les copies reçues, et les décisions sur vos systèmes vous appartiennent. Gardez intacts vos fichiers d'origine, chiffrés compris, et vos sauvegardes, jusqu'à ce que vous ayez vérifié vous-même les fichiers récupérés. Même si je vous dis que rien ne se récupère, gardez une copie des fichiers chiffrés et de la note avant d'effacer ou de réinstaller quoi que ce soit : un outil de déchiffrement peut sortir plus tard.
• Ce que vous recevez. Si une récupération est possible, je vous renvoie les fichiers récupérés, ou un outil et la marche à suivre. Mes outils, publiés sur ce site ou envoyés pour votre cas, sont sous licence MIT : votre prestataire peut les utiliser et les adapter librement. Ils n'ont été testés que dans les conditions décrites avec eux, et je vous signale les limites que je connais. Lancez-les uniquement sur des copies, jamais sur vos fichiers d'origine ni sur vos sauvegardes.
• Aucun contact avec les attaquants. Je ne négocie pas, je ne paie pas et je n'écris pas aux attaquants. Pour votre cas, je ne me connecte à aucun de leurs serveurs ni de leurs sites, et je n'utilise aucune adresse ni aucun identifiant tiré de vos fichiers.
• Ce que cette aide ne remplace pas. Je ne recherche pas comment l'attaquant est entré et je ne remets pas votre réseau en état : il vous faut pour cela un prestataire de réponse à incident, par exemple via l'annuaire de cybermalveillance.gouv.fr. Je ne suis ni un prestataire qualifié PRIS par l'ANSSI, ni un prestataire labellisé ExpertCyber. Si vous êtes assuré, votre contrat peut imposer le prestataire de l'assureur ou son accord écrit : vérifiez-le avant de m'envoyer quoi que ce soit. Récupérer vos fichiers n'efface pas une fuite : beaucoup de groupes volent les données avant de chiffrer.
• Données personnelles. Pour un premier avis, envoyez de préférence des fichiers qui n'en contiennent pas, y compris dans leur nom. Je ne prends pas de données de santé de patients ni d'informations couvertes par un secret professionnel : dites-le avant tout envoi, et nous choisirons d'autres fichiers touchés par la même attaque. Si l'analyse demande des données personnelles, votre organisation reste responsable du traitement et j'agis comme son sous-traitant au sens de l'article 28 du RGPD, même si l'aide est gratuite ; notre accord par e-mail en fixe alors l'objet, la durée, les données et les personnes concernées, et les engagements qui suivent. Je n'utilise ces données que pour cette analyse, sur vos seules instructions. Les e-mails et leurs pièces jointes passent par ma messagerie, hébergée par Proton AG en Suisse ; je garde ensuite les fichiers sur une machine que j'utilise seul, hors de ce site, avec des mesures de sécurité adaptées, décrites dans l'accord. Je ne fais appel à aucun autre prestataire et n'envoie ces données à aucun service en ligne sans votre accord écrit. Si elles sont perdues, divulguées ou consultées sans autorisation, je vous préviens dans les meilleurs délais et je vous aide dans vos démarches auprès de la CNIL. À la fin, j'efface toutes les copies, ou je vous rends les fichiers puis j'efface les copies, à votre choix.
• Confidentialité. Rien d'un cas qui m'est confié (nom, empreinte d'un fichier, échantillon, contenu) n'est publié ni transmis à un tiers sans votre accord écrit. Cela vaut aussi pour la recherche d'une empreinte sur un service en ligne comme VirusTotal ou MalwareBazaar. Seule exception : une obligation légale, par exemple une réquisition judiciaire ; je vous en préviens alors, sauf si la loi me l'interdit.

Contact

Par e-mail : ozer0x777 [at] reversing.re. Indiquez dans l'objet le nom du groupe ou l'extension des fichiers.

Votre famille n'est pas dans la liste ?

La plupart des ransomwares récents ne se déchiffrent pas sans la clé des attaquants. Vérifiez No More Ransom, gardez une copie des fichiers chiffrés et de la note, puis préparez la restauration depuis vos sauvegardes. Vous pouvez quand même m'écrire : je vous dirai si je peux regarder.