# Guide de détection et de récupération : NailaoLocker

Ce guide s'adresse à quelqu'un qui doit vérifier ou nettoyer une machine touchée, pas à des analystes. Il s'appuie sur [`../nailaolocker-sm2-keywrap.md`](../nailaolocker-sm2-keywrap.md).

## 1. Suis-je concerné ?

NailaoLocker a ciblé en 2024 des organisations du secteur santé en Europe, déployé via des backdoors ShadowPad/PlugX après compromission initiale d'un accès VPN. Fichiers renommés en `.locked`, mutex `Global\lockv7`, journal texte `%ProgramData%\lock.log` laissé en place (le ransomware ne cache pas son activité : une fenêtre console reste visible pendant l'exécution).

## 2. Récupération possible sans payer

La plupart des ransomwares gardent leur clé privée chez l'attaquant. Ce build, lui, embarque en clair dans l'exécutable la clé privée dont sa propre logique de déchiffrement a besoin. J'ai montré, par un round-trip complet et exact à l'octet près sur un fichier chiffré par le vrai code du malware (`nailaolocker-sm2-keywrap.md` §7), que **cette clé privée déchiffre correctement** les clés AES qu'elle protège. Sur ce point, mon résultat contredit le rapport public de référence.

Un analyste disposant d'un exécutable NailaoLocker identique à celui étudié ici, et de fichiers `.locked` produits par ce même exécutable, peut extraire la clé privée (`tools/nailaolocker_sm2_keywrap_poc.py` documente l'extraction) et l'utiliser pour déchiffrer le champ SM2 du footer de chaque fichier (`tools/decrypt_locked_real.py` documente le format exact du footer), avant de terminer avec un déchiffrement AES-256-CBC classique. N'altérez pas les fichiers `.locked` originaux avant de tenter quoi que ce soit : travaillez sur des copies.

## 3. Indicateurs de compromission

Voir `nailaolocker-sm2-keywrap.md` §9 pour le hash SHA256 confirmé. Mutex `Global\lockv7` détectable en mémoire sur un système actif. L'absence de packer/protection sur ce build (entropie normale sur toutes les sections) le rend détectable par la plupart des moteurs antivirus à jour ; la règle YARA fournie (`nailaolocker_sm2_keywrap.yar`) cible spécifiquement la structure de clé SM2 embarquée et les chaînes caractéristiques (`Global\lockv7`, marqueur `LV7`).

## 4. Ce que cette analyse n'apporte pas

Le round-trip de déchiffrement démontré (§2) l'a été sur un fichier de test chiffré sous émulation, pas sur un vrai fichier de victime produit par une exécution réelle du malware : aucun tel fichier n'était disponible pour cette analyse. Deux autres builds cités par le rapport public de référence n'ont pas pu être obtenus au moment de cette analyse ; rien n'indique qu'ils partagent la même paire de clés. Ne supposez pas qu'un incident impliquant NailaoLocker est automatiquement récupérable sans vérification directe de l'exécutable et de la clé qu'il contient sur le cas concerné.