Chez Logistique Sahel Atlas, tous les fichiers d'exploitation finissent en « .lsa3 » et le chiffrement continue

Logistique Sahel Atlas (LSA) exploite trois entrepôts frigorifiques à Agadir et organise chaque nuit les tournées des camions vers Marrakech et Casablanca. Les plans de chargement, bons de livraison et fiches de température vivent sur le partage exploitation du serveur srv-fichiers (Samba, membre du domaine LSA.LAN géré par dc-01). Une copie est faite chaque heure vers le NAS nas-01 (partage SMB monté sur srv-fichiers), et toutes les 6 heures sauv-01 envoie un instantané restic vers un stockage objet MinIO s3-immuable avec Object Lock (installé en mars après un audit). Les postes et serveurs remontent leurs journaux à Wazuh (wazuh-01).

Ce matin à 07:30, l'équipe de jour trouve des centaines de fichiers renommés en .lsa3 et un fichier LISEZ-MOI-LSA3.txt dans chaque dossier. Les camions de 09:00 n'ont pas de plan de chargement. Le directeur veut « tout restaurer depuis le NAS, tout de suite », le responsable comptable jure que son PC « est éteint depuis hier soir ».

Vous êtes analyste SOC d'astreinte, sur poste-soc, avec un accès SSH root aux serveurs. Votre mission : confiner (arrêter le chiffrement à la source, neutraliser l'accès utilisé), identifier le poste d'origine dans les journaux, puis restaurer le dernier état sain depuis la copie immuable. Aucune action offensive : on ne « contre-attaque » pas, on contient et on restaure.