Comment isoler un poste infecté sans tout casser ?

Un poste se comporte anormalement : fichiers illisibles, fenêtre inconnue, ventilateur emballé, message d'alerte. L'isoler est la bonne décision, mais la manière compte. Mal faite, l'isolation détruit les éléments qui permettraient de comprendre l'incident, ou laisse au contraire la contamination se propager.

Isoler n'est pas éteindre

Couper l'alimentation efface la mémoire vive de la machine, qui contient souvent des informations précieuses : programmes en cours, connexions ouvertes, parfois des éléments nécessaires à l'analyse. Or l'objectif immédiat est seulement d'empêcher la machine de parler au reste du réseau.

La règle courante est donc de déconnecter sans éteindre, sauf consigne contraire du professionnel qui vous assiste. Dans le cas particulier d'un chiffrement en cours par un rançongiciel, l'arrêt peut se justifier pour limiter le nombre de fichiers touchés : c'est un arbitrage à prendre avec la personne qui vous accompagne, comme le rappelle notre article sur les réflexes face à un rançongiciel.

Comment isoler concrètement

1. Débranchez le câble réseau et désactivez le Wi-Fi depuis les réglages, ou coupez la carte sans fil par l'interrupteur physique si l'appareil en a un.
2. Retirez les supports connectés : disques externes, clés USB, cartes mémoire, téléphone en charge.
3. Coupez les connexions cachées : partage de connexion, Bluetooth, second réseau d'un poste équipé de plusieurs cartes.
4. Déconnectez les sauvegardes encore saines et accessibles depuis ce poste, pour qu'elles ne soient pas atteintes.
5. Notez l'heure de chaque geste et ce que vous avez vu à l'écran, avec une photo si nécessaire.
6. Signalez immédiatement au support et à la direction, en passant par le téléphone plutôt que par la messagerie du poste concerné.

Ce qu'il ne faut pas faire

• Reconnecter « juste une minute » pour récupérer un fichier ou vérifier un message : chaque reconnexion peut relancer la propagation.
• Lancer un nettoyage à la hâte : supprimer des fichiers efface aussi les traces nécessaires à l'analyse et à une plainte.
• Réinstaller tout de suite : la cause resterait inconnue, donc le problème reviendrait.
• Brancher une clé USB sur le poste isolé pour en sortir des documents, puis la brancher ailleurs.
• Se connecter au poste avec un compte d'administration : ces identifiants pourraient être capturés à leur tour.
• Laisser la machine accessible à son utilisateur, qui la rallumera par réflexe : rangez-la et étiquetez-la.

Vérifier si d'autres machines sont concernées

Remettre le poste en service

1. Faites analyser la machine, ou faites-en une copie si une plainte est envisagée.
2. Réinstallez le système complètement plutôt que de le nettoyer.
3. Restaurez les documents depuis une sauvegarde antérieure à l'incident, jamais depuis le poste lui-même.
4. Changez les mots de passe utilisés sur cette machine avant de la reconnecter.
5. Appliquez les mises à jour, puis surveillez le poste pendant les semaines suivantes.

Préparez enfin ces gestes à froid : une fiche affichée dans les bureaux, un numéro à appeler, et la consigne de ne pas tenter de réparer soi-même. Le temps gagné se joue sur ces détails.

NexSecure prend en charge l'isolement, l'analyse et la remise en service des postes touchés dans le cadre de la supervision à distance.