# Guide de détection et remédiation : NightSpire

Ce guide s'adresse à quelqu'un qui doit vérifier ou nettoyer une machine touchée, pas à des analystes. Il s'appuie sur [`nightspire-ransomware.md`](nightspire-ransomware.md) ; ce que je n'ai pas observé directement (je n'ai exécuté aucun échantillon et je n'avais aucun fichier réellement chiffré par NightSpire) est signalé comme tel.

## 1. Suis-je concerné ?

Contact de rançon observé dans les échantillons analysés : `nightspireteam.receiver@onionmail.org`. Le nom du fichier de note de rançon exact n'a pas été extrait par cette analyse.

## 2. Quels fichiers sont potentiellement récupérables par cette voie

**C'est ce qui détermine si une récupération est possible.** La faille décrite dans `nightspire-ransomware.md` ne s'applique qu'à une partie des fichiers chiffrés, selon deux critères :

- **Le fichier doit avoir été traité en plusieurs "chunks"** (généralement des fichiers volumineux, au-delà d'environ 1 Mio). Sur la lignée de code "Encrypter v2.1", ce chemin cible spécifiquement les extensions `.iso`, `.vhdx`, `.vmdk`, `.zip`, `.vib`, `.kab`, `.mdf`, `.flt`, `.mdl` (images disque de machine virtuelle, sauvegardes, archives). Sur la lignée "ImmoRan", le déclencheur est la taille du fichier plutôt qu'une liste d'extensions fixe (voir `nightspire-ransomware.md` §5). Les petits fichiers (documents bureautiques, images, fichiers de quelques centaines de Ko) ne sont généralement traités qu'en un seul appel de chiffrement et ne sont **pas** concernés par cette voie de récupération spécifique.
- **Il faut pouvoir deviner ou connaître le contenu en clair d'au moins une partie d'un chunk du fichier concerné.** Les formats visés (images disque VM, ISO, sauvegardes) contiennent typiquement de larges zones de remplissage à zéro (espace non alloué) ou des en-têtes de format standard : c'est l'hypothèse de départ la plus praticable, sans connaissance préalable du contenu réel.

**Attention, ce n'est pas comme d'autres ransomwares qui ont un défaut de réutilisation de flux comparable** : la réutilisation ici est *interne à chaque fichier* (entre les chunks d'un même fichier), pas entre fichiers différents. Un fichier chiffré seul, ou dont chaque chunk est un contenu réellement aléatoire/compressé sans zone prévisible, n'offre pas de prise pour cette technique.

## 3. Piste de récupération

1. Identifiez un fichier chiffré volumineux (au moins deux chunks, donc généralement supérieur à 1-2 Mio) dont le format est connu et contient probablement une zone de remplissage prévisible : image disque VM (souvent sparse, larges zones à zéro), ISO (padding de fin de piste), sauvegarde avec zones non allouées.
2. Utilisez [`tools/nightspire_recover_chunk.py`](tools/nightspire_recover_chunk.py) avec l'hypothèse `--known-zero` sur un chunk suspecté d'être du remplissage, pour tenter de récupérer le texte clair des autres chunks du même fichier à la même position relative.
3. Si un autre fichier non chiffré, structurellement proche d'un fichier chiffré (même logiciel/modèle), est disponible, son contenu peut servir de texte clair connu (`--known-plaintext-file`) pour une récupération plus étendue que la seule hypothèse de zéro-remplissage.

**Aucun fichier réellement chiffré par NightSpire n'était disponible** pour valider cette voie de bout en bout ; l'outil a été testé sur un fichier synthétique reproduisant le mécanisme validé par émulation bit-exacte du vrai binaire (`nightspire-ransomware.md` §4, §6), pas sur un ciphertext produit par une exécution réelle du ransomware. Le taux de récupération réel dépendra fortement du format et du contenu exacts des fichiers concernés.

## 4. Confinement et nettoyage

1. Isolez la machine du réseau dès le constat.
2. Conservez le binaire de l'encrypteur si retrouvable : nécessaire pour déterminer la lignée de code exacte (§2) et donc la nature précise du chemin de chiffrement appliqué.
3. Conservez une copie de **tous** les fichiers chiffrés volumineux (images disque, sauvegardes, archives) avant tout nettoyage : ce sont les candidats les plus prometteurs pour une récupération partielle (§2-3).
4. Conservez la note de rançon et toute trace de contact avec l'attaquant.
5. Réinstallez depuis une image saine si l'étendue de la compromission n'est pas entièrement caractérisée : cette analyse couvre le seul module de chiffrement, pas le reste de la chaîne d'intrusion.

## 5. Signalement

- CERT national, plateforme de signalement type cybermalveillance.gouv.fr, ou No More Ransom (aucun décrypteur public NightSpire n'y a été recherché au moment de cette analyse).
- IOCs consolidés dans `nightspire-ransomware.md` §8 : hashs des sept échantillons connus, contact de rançon.

## 6. Réduire la surface d'attaque

- Sauvegardes hors ligne et testées régulièrement : seule protection garantie contre l'ensemble des fichiers, y compris ceux hors du périmètre de récupération décrit ici (petits fichiers, fichiers sans zone de contenu prévisible).
- Détection via [`nightspire_keystream_reuse.yar`](nightspire_keystream_reuse.yar) sur un binaire suspect ou dans un dump mémoire.