Le mystère semble résolu -- et c'était quelque chose que je n'avais pas anticipé, mais que moi et d'autres pourrons trouver utile à l'avenir.
La clé réside probablement dans le fait que j'ai hérité de ces serveurs.
J'avais vérifié les paramètres Windows Defender des serveurs. Ce que je n'avais pas réalisé, c'est que notre prestataire de services managés utilise également l'antivirus Sophos -- et que je n'avais pas accès à ces journaux. Ils sont également censés nous alerter en cas de problème, mais semblent avoir manqué à cette obligation dans ce cas.
Sophos a incorrectement signalé notre activité, qui modifie de nombreux fichiers, comme une attaque de ransomware
