Lutando contra o Petya: nossa experiência na recuperação de dados de arquivos de banco de dados Firebird criptografados por cripto-vírus ransomware

Como você sabe, recentemente vários vírus de criptografia atacaram muitas empresas - os mais conhecidos são Wannacry e Petya. Geralmente, conforme relatado por muitas empresas, é necessário pagar um resgate ou, no caso do Petya, todos os arquivos criptografados serão perdidos.

Nossa empresa é especializada em consultoria de bancos de dados Firebird, fornecemos ferramentas para recuperação e otimização e, consequentemente, recebemos várias solicitações de empresas que sofreram o ataque do Petya e de outros ransomwares.

O Petya é um tipo de criptovírus “preguiçoso”: geralmente, ele criptografa apenas o primeiro megabyte do arquivo, provavelmente, para fazer seu trabalho sujo o mais rápido possível. Normalmente, a perda do primeiro megabyte no início do banco de dados Firebird o torna ilegível: o primeiro megabyte contém informações importantes do sistema sobre tabelas e outras estruturas. É muito semelhante à corrupção “normal” do banco de dados, causada por falha de hardware, por exemplo.

É uma pena perder um banco de dados de vários gigabytes devido à perda do primeiro Mb. Felizmente, nossa ferramenta de recuperação (IBSurgeon FIrstAID) pode recuperar dados dos bancos de dados Firebird e InterBase mesmo em casos como o Petya: o FirstAID trabalha em nível baixo, ignorando o mecanismo do Firebird ou InterBase, exigindo o mínimo de metadados para exportar registros do banco de dados criptografado para um novo.

Além disso, o IBSurgeon FirstAID pode emprestar estruturas de metadados de outro banco de dados: se houver uma cópia antiga e boa do banco de dados disponível, é possível usá-la como fonte de metadados e exportar todos os dados não criptografados.

Os bancos de dados Firebird contêm páginas de tamanho igual: na versão mais recente (3.0), o tamanho padrão da página é 8k; nas anteriores, 2.5 - 4kb. Isso significa que o Petya criptografa as primeiras 128 páginas (no caso de tamanho de página de 8Kb) ou 256 páginas (no caso de página de 4k).

Como você pode ver na imagem abaixo (é uma captura de tela da versão interna do IBSurgeon FirstAID), as páginas críticas do sistema (dados para formatos de registro) geralmente começam na página 185 para bancos de dados com páginas de 8K (padrão no Firebird 3.0) e, infelizmente, na página 171 para tamanho de página de 4k.

Isso significa que os bancos de dados Firebird 3 geralmente podem ser recuperados da criptografia do Petya com uma taxa próxima de 100%, e os bancos de dados Firebird 2.5 exigirão o empréstimo de metadados externos para salvar os dados.

Isso significa que, neste caso específico, podemos derrotar o Petya: não perdemos dados e não pagamos resgate.

A maioria dos clientes relatou que conseguiu recuperar bancos de dados Firebird do Petya com o IBSurgeon FirstAID.

É claro que a abordagem não protege os bancos de dados dos criptovírus, mas permite minimizar perdas após tal desastre. Backups e monitoramento de banco de dados também são muito importantes como meios passivos de proteção contra vírus e outros desastres.

Mais detalhes sobre ransomware e Firebird: Como proteger bancos de dados Firebird de ransomware?

Sinta-se à vontade para entrar em contato conosco com qualquer dúvida!