Les équipes de récupération de données font face à un test plus difficile, selon la société de protection des données Index Engines. L'entreprise affirme que les nouveaux ransomwares corrompent souvent les fichiers sans les chiffrer complètement. Cela ressemble à une petite distinction technique, mais cela change le fonctionnement de la récupération. Pour quiconque compte sur les sauvegardes, corruption des données par ransomware et sauvegardes est désormais une combinaison qui vaut la peine d'être comprise.

Le rapport original est bref, donc cet article s'en tient à ce qu'Index Engines a déclaré et ajoute un contexte général sur le fonctionnement des dommages aux fichiers et des pratiques de sauvegarde. Lorsque nous expliquons des mécanismes, nous décrivons un raisonnement technique courant, et non des affirmations tirées du rapport.

Pourquoi les ransomwares corrompent les fichiers au lieu de les chiffrer

Le rapport énonce la tendance mais ne détaille pas, dans le résumé dont nous disposons, les motivations derrière celle-ci. Quelques points généraux aident à expliquer pourquoi les attaquants pourraient préférer la corruption au chiffrement complet.

Le chiffrement complet de chaque fichier prend du temps et des ressources informatiques. Endommager seulement certaines parties d'un fichier, ou écraser des données d'une manière qui les rend inutilisables, peut être plus rapide. Cela peut aussi être plus difficile à repérer. De nombreuses défenses sont conçues pour rechercher le schéma familier du chiffrement massif, comme des fichiers renommés ou l'apparition d'une note de rançon. Des dommages qui ressemblent davantage à des erreurs de fichier ordinaires peuvent attirer moins d'attention au départ.

Il y a aussi une conséquence pratique pour les victimes. Si les fichiers sont chiffrés, une clé de déchiffrement peut parfois les restaurer. Si les fichiers sont corrompus, il peut n'y avoir rien à déchiffrer. Le seul chemin fiable de retour est une copie propre.

Ce que la corruption partielle signifie pour la récupération de données

Index Engines affirme que les équipes de récupération font face à un travail plus difficile en conséquence. La raison est simple : les hypothèses habituelles de récupération s'effondrent.

  • Les fichiers peuvent sembler présents mais être inutilisables. Un document peut exister, afficher une taille normale et pourtant ne pas s'ouvrir.
  • Les dommages peuvent se propager dans les sauvegardes. Si un logiciel de sauvegarde copie des fichiers corrompus selon un calendrier, les bonnes versions peuvent être écrasées par les mauvaises au fil du temps.
  • L'ampleur est plus difficile à mesurer. Avec un chiffrement complet, il est clair de savoir ce qui est affecté. Avec une corruption partielle, les équipes peuvent ne pas savoir quels fichiers sont endommagés et lesquels sont intacts sans vérifier chacun d'eux.

Ce dernier point est le plus important. Une sauvegarde n'est utile que si vous savez quel point de restauration est propre. Sans cette connaissance, la récupération peut se transformer en lents essais et erreurs.

Comment protéger les sauvegardes contre les attaques par corruption

L'objectif est de conserver au moins une copie propre et intacte de vos données qu'un attaquant ne peut ni atteindre ni altérer. Quelques habitudes aident les particuliers et les petites organisations à y parvenir.

Conservez des sauvegardes versionnées. Le versionnement stocke plusieurs copies historiques d'un fichier plutôt que seulement la plus récente. Si la version d'aujourd'hui est corrompue, celle d'hier ou de la semaine dernière peut encore être intacte. Définissez une durée de conservation suffisamment longue pour que des dommages lents et silencieux n'éliminent pas vos bonnes copies avant que vous ne les remarquiez.

Conservez une copie hors ligne ou déconnectée. Un disque de sauvegarde constamment branché peut être atteint par tout ce qui atteint votre ordinateur. Faire tourner un disque déconnecté après chaque sauvegarde limite cette exposition.

Utilisez un stockage immuable lorsque c'est possible. Les sauvegardes immuables ne peuvent pas être modifiées ni supprimées pendant une période définie, même par un compte administrateur. Cela les rend résistantes à la fois au chiffrement et à la corruption. Notre explication sur les sauvegardes immuables comme dernière ligne de défense contre les ransomwares couvre comment cela fonctionne et pourquoi les attaquants ciblent désormais directement les systèmes de récupération.

Séparez vos identifiants. Les systèmes de sauvegarde ne devraient pas partager le même identifiant que les comptes quotidiens. Si un attaquant prend le contrôle d'un compte d'usage quotidien, il ne devrait pas automatiquement obtenir l'accès à vos sauvegardes.

Testez les restaurations, pas seulement les sauvegardes. Une tâche de sauvegarde qui signale un succès vous indique seulement que des données ont été copiées. Restaurez périodiquement un échantillon de fichiers et ouvrez-les. C'est le moyen le plus simple de détecter une corruption silencieuse avant d'avoir besoin des données.

Signes avant-coureurs de dommages inattendus aux fichiers

Parce que la corruption peut être plus silencieuse que le chiffrement, la détection précoce compte. Surveillez des signes tels que :

  • Des fichiers qui soudainement ne s'ouvrent plus ou affichent des erreurs, surtout plusieurs à la fois
  • Des documents, photos ou bases de données qui s'ouvrent mais contiennent un contenu altéré ou manquant
  • Des changements inexpliqués de taille de fichier ou de dates de modification sur de nombreux fichiers
  • Des tâches de sauvegarde qui prennent sensiblement plus ou moins de temps que d'habitude, ou qui commencent à signaler des avertissements
  • Une activité disque inhabituelle ou des ralentissements alors que personne n'utilise intensivement le système

Les organisations peuvent ajouter une surveillance qui alerte en cas de grands nombres de fichiers modifiés en peu de temps. Les particuliers peuvent en tirer une grande partie des bénéfices en vérifiant ponctuellement les dossiers importants et en lisant les notifications du logiciel de sauvegarde au lieu de les ignorer.

Si vous soupçonnez des dommages, déconnectez l'appareil affecté du réseau et arrêtez les tâches de sauvegarde avant qu'elles n'écrasent les bonnes versions par les mauvaises. Identifiez ensuite le dernier point de restauration propre connu.

Ce que cela signifie pour vous

Le rapport d'Index Engines est un rappel que la planification de la récupération ne peut pas supposer que les ransomwares s'annonceront toujours avec une note de rançon et des fichiers verrouillés. Si les dommages sont partiels et silencieux, la qualité de vos sauvegardes détermine combien vous pouvez récupérer.

Pour les utilisateurs à domicile, cela signifie avoir plus d'une copie de ce qui compte, avec au moins une conservée hors ligne. Pour les petites organisations, cela signifie des copies versionnées et immuables, des identifiants séparés pour les systèmes de sauvegarde et des tests de restauration réguliers. Rien de tout cela n'exige un budget important, mais cela exige de l'attention avant que quelque chose ne tourne mal.

Points clés : examinez votre configuration de sauvegarde cette semaine

  • Confirmez que vos sauvegardes conservent plusieurs versions, pas seulement la copie la plus récente.
  • Ajoutez une copie hors ligne ou déconnectée de vos données les plus importantes.
  • Envisagez un stockage immuable pour les sauvegardes critiques.
  • Restaurez quelques fichiers depuis la sauvegarde et confirmez qu'ils s'ouvrent correctement.
  • Prêtez attention aux avertissements de sauvegarde et aux erreurs de fichier inattendues.

La corruption des données par ransomware et les sauvegardes est un problème auquel vous pouvez vous préparer avec quelques étapes délibérées. Prenez le temps cette semaine d'examiner votre configuration, et lisez notre guide sur les sauvegardes immuables pour un regard plus approfondi sur la protection des systèmes dont vous dépendez pour récupérer.