logo SOS Ransomware
Urgenza 24/7
Synology BackUP

Caso di studio: Recupero di 5 TB di dati Synology Hyper Backup crittografati dal ransomware Booba

Il 29 giugno, un fornitore di servizi IT e i suoi clienti con sede in Svizzera sono stati vittime di un grave attacco informatico orchestrato dal gruppo ransomware Booba. Il cliente disponeva complessivamente di 3 NAS Synology.

Chiamaci : (+33) 1 84 60 41 12
Richiesta di intervento

📌 In sintesi (TL;DR)

  • Infezione: Attacco del ransomware Booba contro un’azienda con sede in Svizzera.

  • Problematica: Una parte dei dati del backup non aveva potuto essere recuperata da un altro laboratorio. Recoveo, grazie alla sua maggiore esperienza con questo tipo di backup (Synology Hyper Backup), è stata quindi coinvolta per questo intervento. Il ransomware Booba aveva infatti crittografato una parte dei file di Hyper Backup.

  • Soluzione SOS Ransomware / Recoveo: Attività di R&D su misura (2 giorni di sviluppo) che ha permesso di recuperare file .bucket, .chunk.

  • Risultato finale: 5 TB di dati ripristinati (1,8 milioni di file), ovvero il 98% dei dati recuperati e restituiti al cliente.

Contesto:

Il cliente disponeva complessivamente di 3 NAS Synology:

  • 1 NAS in un Data Center: completamente crittografato.

  • 1 NAS di backup in sede: colpito dal ransomware.

  • 1 NAS dedicato alle macchine virtuali (modello compatto con 4 dischi): preservato e operativo.

Fortunatamente, l’infrastruttura Proxmox del cliente, insieme a Proxmox Backup Server, non era stata colpita, consentendogli di rimettere online tutte le macchine virtuali interessate (circa 50) in meno di 8 ore.

Solo due dei suoi clienti e il cliente stesso erano ancora interessati dalla perdita di dati. Rimaneva una macchina virtuale (Virtual DSM) di uno dei suoi clienti, che era stata completamente crittografata.

Misure preventive adottate dal cliente per limitare l’impatto del ransomware

Il cliente era riuscito a recuperare una parte dei suoi dati tramite un altro laboratorio di recupero dati. Come misura di sicurezza, aveva inoltre copiato i dati di backup del NAS integro su un altro sistema (utilizzando una riga di comando rsync). Una parte dei dati del backup non era stata recuperata dall’altro laboratorio. Recoveo, grazie alla sua maggiore esperienza con questo tipo di backup (Synology Hyper Backup), è stata quindi coinvolta per questo intervento. Il ransomware Booba aveva infatti crittografato una parte dei file di Hyper Backup. In totale, erano presenti 8 cartelle condivise nidificate all’interno di Hyper Backup (in formato .hbk), di cui 2-3 erano di interesse per il cliente. Il cliente era comunque riuscito a contenere alcuni processi del ransomware, consentendo di massimizzare le nostre possibilità di recupero. Alcuni tipi di file ed estensioni fondamentali non erano stati colpiti dal ransomware.
fichiers chiffrés ransomware booba
Elenco dei file colpiti dal ransomware Booba
Il cliente cercava di recuperare i file di dati puri (file senza estensione o con estensioni come .bucket, .chunk oppure file denominati con lunghe sequenze di numeri e lettere): si tratta dei «blocchi» di dati deduplicati. Sono veri e propri file, ma ridotti in frammenti, mescolati e crittografati.

La soluzione: un intervento tecnico su misura

Uno strumento proprietario già utilizzato in una decina di casi

Durante un primo intervento di recupero tramite il nostro strumento sviluppato internamente e già utilizzato in una decina di casi precedenti, il nostro team di ingegneri è riuscito a recuperare 3,89 TB di chunk, ovvero 1,5 milioni di file.

Risultato: 98% dei dati recuperati in 4 giorni lavorativi

Dopo 2 giorni di sviluppo specifico e dedicato a questo caso, il nostro team di R&D è riuscito a ottenere l’elenco finale dei 5 TB di dati (1,8 milioni di file), pari al 98% dei dati recuperati e restituiti al cliente.

Testimonianza del cliente

«Con Recoveo e il suo servizio SOS Ransomware, siamo riusciti a recuperare quasi il 100% dei dati che desideravamo recuperare, dopo giorni psicologicamente estenuanti per noi a seguito di questo attacco.» — Dirigente di una PMI con sede in Svizzera