Ficheiro .MDF encriptado por ransomware
1️⃣ O que é um ficheiro .MDF?
Um ficheiro .MDF (Microsoft SQL Server Master Data File) é o ficheiro principal de uma base de dados SQL Server. Contém:
- Os dados dos utilizadores (tabelas, vistas, procedimentos armazenados)
- A estrutura e indexação
- As informações essenciais para a reconstrução da base de dados
O ficheiro .MDF é frequentemente acompanhado por um ficheiro .LDF (log de transações), que regista todas as alterações. A perda ou corrupção de um ficheiro .MDF pode provocar a inacessibilidade total da base de dados SQL.
2️⃣ Sintomas de um ficheiro .MDF encriptado por ransomware
Quando um ransomware tem como alvo ficheiros .MDF, podem surgir vários sinais:
- Encriptação do ficheiro
- Extensão alterada: .MDF.locked, .MDF.anubis ou outra, dependendo do ransomware
- Impossibilidade de abrir o ficheiro no SQL Server
- Mensagem de resgate
- Ficheiro de texto ou HTML deixado pelo ransomware na pasta, com instruções para o pagamento do resgate
- Nome de ficheiro frequentemente idêntico para todos os ficheiros encriptados
- Base de dados inacessível
- O SQL Server apresenta erros como: “Cannot open database …. The physical file may be missing or corrupt”
- As transações deixam de poder ser registadas
- Sintomas secundários
- Servidor SQL instável ou extremamente lento
- Logs de transações (.LDF) não sincronizados
- As cópias de segurança locais podem, em alguns casos, ser eliminadas ou encriptadas
3️⃣ Impacto na recuperação de dados
A recuperação de um ficheiro .MDF encriptado depende de vários fatores:
- Tipo de ransomware
- Os ransomware clássicos encriptam o ficheiro sem o eliminar.
- Os ransomware destrutivos podem substituir ou eliminar o conteúdo → recuperação quase impossível.
- Disponibilidade de ficheiros de cópia de segurança
- Cópia de segurança não encriptada e offline: recuperação rápida.
- Cópia de segurança em rede: existe o risco de o ransomware também ter encriptado as cópias.
- Estado do ficheiro
- Ficheiro totalmente encriptado: requer reconstrução a partir de uma cópia de segurança.
- Ficheiro parcialmente corrompido: ferramentas especializadas podem tentar extrair os dados intactos.
- Complexidade do formato MDF
- O MDF contém estruturas internas complexas (páginas, índices, tabelas).
- As ferramentas de recuperação devem reconstruir as páginas para que a base de dados volte a funcionar.
4️⃣Boas práticas após a encriptação de ficheiros .MDF
- Isolamento imediato
- Desligar o servidor SQL da rede
- Identificar a variante do ransomware
- Permite determinar se existe uma ferramenta de desencriptação disponível
- Recorrer a um especialista em recuperação de dados após um ataque de ransomware
Conclusão
Um ficheiro .MDF encriptado por ransomware constitui uma emergência crítica:
- Sintomas: base de dados inacessível, extensões alteradas, erros do SQL Server
- Impacto: depende da natureza do ransomware
Risco máximo: perda definitiva de dados se o ficheiro for destruído ou se não existir uma cópia de segurança fiável.