Le CERT liste l’ensemble des données à collecter pour lever le doute sur la compromission et fournit à l’équipe informatique un agent de collecte à lancer sur le serveur.
Les données de l’agent de collecte et les logs du firewall sont envoyés au CERT, qui après analyse confirme qu’une vulnérabilité a été exploitée pour installer un Remote Shell et prendre le contrôle du serveur.
L’objectif est à présent de mesurer l’étendue de la compromission et de gérer la situation de crise interne. Avec l’accord du client, le CERT dépêche un expert sur site pour coordonner les opérations et rassurer les différentes parties prenantes pendant que les opérations d’investigation se poursuivent.
Après 2 jours d’investigation, le CERT établit que l’attaquant n’a pas réussi à compromettre d’autres ressources. Une procédure d’éradication de l’attaque et de retour à la normale est documentée ainsi que la chaîne des événements, les vulnérabilités exploitées et le plan de remédiation associé.

Le CERT établit avec le responsable informatique un plan d’urgence pour contenir l’attaque et suit à distance les gestes techniques (isolation du réseau de certaines machines, mise en sécurité de sauvegardes…)
Une fois que le contrôle de la situation est en place, le CERT fournit au responsable IT un outil de collecte à lancer sur un poste infecté et une liste d’actions de vérification des vecteurs d’attaque (mail, web, clé USB). Les données collectées permettent au CERT d’identifier le malware utilisé et d’identifier la source (un mail avec pièce jointe piégée envoyé à au moins 4 employés).
Ne parvenant pas à être rapidement sûr de l’absence d’autres destinataires du mail piégé, un message d’alerte est rédigé pour les employés avec l’aide du CERT. En parallèle les marqueurs de l’attaque (malware utilisé et impact sur le poste, émetteur et sujet du mail…) sont utilisés pour dériver des règles de blocage sur le firewall, le serveur / relais de messagerie et l’antivirus des postes.
Le malware utilisé s’appuyant sur une clé de chiffrement stockée en mémoire, une station infectée qui n’a pas été redémarrée est mise à disposition du CERT. Cela permet de récupérer la clé de chiffrement et de déchiffrer 80% des données. La direction sollicite le CERT pour évaluer l’opportunité de payer la rançon demandée pour avoir une chance de retrouver les données restantes et décide de ne pas prendre cette option.
Le CERT établit avec le responsable informatique et le prestataire gérant les sauvegardes et le parc informatique un plan de restauration (ordre de reconstruction des postes / restauration des sauvegardes). Un fois les opérations de retour à la normale terminées, le CERT propose un plan de durcissement du filtrage des mails et de la navigation web ainsi qu’un programme de sensibilisation des employés.