Fichier VHDX infecté par un ransomware : symptômes, impact et récupération

1️⃣ Contexte

Les fichiers VHDX sont des disques virtuels utilisés par Hyper-V, contenant souvent des systèmes d’exploitation complets ou des données critiques d’entreprise. Lorsqu’un ransomware infecte le système hôte ou le fichier VHDX lui-même, il peut chiffrer tout le contenu du disque virtuel, rendant l’ensemble des fichiers, applications et systèmes virtuels inaccessibles.

2️⃣ Symptômes d’un VHDX chiffré

Les signes typiques d’un fichier VHDX compromis incluent :

Inaccessibilité du disque virtuel :
- Le fichier ne peut pas être monté dans Hyper-V.
- Message d’erreur : “Le disque virtuel est corrompu ou illisible”.
Modification de l’extension ou du nom du fichier :
- Certains ransomwares renommant le fichier ou ajoutant des extensions type .locked, .anubis, .crypt.
Augmentation ou diminution de la taille du fichier :
- Après chiffrement, la taille peut légèrement changer en raison du processus de cryptage.
Présence d’un fichier de rançon :
- Note type README.txt ou RESTORE_FILES.html dans le répertoire contenant le VHDX.
Blocage du système invité :

Même si Hyper-V tente de monter le disque, les fichiers internes sont illisibles ou corrompus.

3️⃣ Impact sur la récupération de données

La récupération de données depuis un VHDX chiffré dépend de plusieurs facteurs :

3.1 Type de ransomware

Si le ransomware utilise un chiffrement fort asymétrique (AES, RSA ou ECIES), le déchiffrement est quasi impossible sans clé privée.
Certains ransomwares incluent un wiper qui écrase le contenu du disque virtuel, rendant toute récupération classique impossible.

3.2 Intégrité du fichier VHDX

Si le fichier VHDX a été modifié ou tronqué, le disque virtuel peut devenir corrompu.
Hyper-V ne pourra pas reconnaître le disque ou les partitions.

3.3 Sauvegardes disponibles

Sauvegardes isolées (hors ligne, bande, snapshot immuable) peuvent permettre une récupération rapide.
Les VHDX stockés sur un NAS ou un serveur réseau peuvent avoir été également chiffrés si le ransomware a eu accès au réseau.

3.4 Complexité technique

Les VHDX contiennent souvent des systèmes de fichiers NTFS ou ReFS, qui demandent une reconstruction du système de fichiers avant d’accéder aux données.
Les outils standards de récupération de fichiers ne suffisent généralement pas.

4️⃣ Temps pour récupérer les données

Le temps de récupération d’un VHDX chiffré varie selon la situation :

Scénario	Temps moyen	Facteurs déterminants
VHDX intact + sauvegarde complète isolée	< 2h	Déploiement rapide, restauration Hyper-V
VHDX chiffré mais sans wiper + outil spécialisé	1–5 jours	Taille du VHDX, complexité du chiffrement, CPU serveur
VHDX corrompu + récupération manuelle du système de fichiers	5–15 jours	Taille du disque, fragmentation, état du VHDX
VHDX chiffré + wiper actif	Variable, parfois impossible	Données effacées définitivement

Remarque : Les fichiers VHDX de plusieurs téraoctets peuvent demander plusieurs jours, même avec des outils professionnels, pour reconstruire la structure interne et récupérer les fichiers exploitables.

5️⃣ Outils et méthodes

Restauration depuis sauvegarde
- Veeam, Hyper-V Backup, Synology Hyper Backup, bandes LTO.
Reconstruction manuelle du système de fichiers
- Logiciels spécialisés (ScanX, R-Studio, ReclaiMe) pour BTRFS, ReFS, NTFS.
Déchiffrement (si clé disponible)
- Rare : dépend du ransomware et de la clé privée.
Extraction sélective

Dans certains VHDX partiellement chiffrés, seuls certains fichiers peuvent être récupérés.

6️⃣ Bonnes pratiques post-ransomware VHDX

Ne pas tenter d’ouvrir ou de réparer le VHDX par soi-même pour éviter d’aggraver la corruption.
Isoler le fichier VHDX sur un stockage sécurisé et hors réseau.
Faire intervenir un spécialiste de récupération de données post-ransomware.
Vérifier les sauvegardes et les snapshots immuables avant toute intervention.

Documenter l’incident pour assurance ou reporting post-incident.