File .MDF crittografato da ransomware
1️⃣ Cos’è un file .MDF? Un file .MDF (Microsoft SQL Server Master Data File) è il file principale di un database SQL Server.
I dati degli utenti (tabelle, viste, stored procedure) La struttura e l’indicizzazione Le informazioni essenziali per la ricostruzione del database Il file .MDF è spesso accompagnato da un file .LDF (log delle transazioni), che registra tutte le modifiche. La perdita o la corruzione di un file .MDF può causare l’inaccessibilità totale del database SQL.
2️⃣ Sintomi di un file .MDF crittografato da ransomware Quando un ransomware colpisce i file .MDF, possono presentarsi diversi segnali:
Crittografia del file Estensione modificata: .MDF.locked, .MDF.anubis o altra, a seconda del ransomware Impossibilità di aprire il file in SQL Server Messaggio di riscatto File di testo o HTML lasciato dal ransomware nella cartella, con le istruzioni per il pagamento del riscatto Nome del file spesso identico per tutti i file crittografati Database inaccessibile SQL Server mostra errori come: “Cannot open database …. The physical file may be missing or corrupt” Le transazioni non possono più essere registrate Sintomi secondari Server SQL instabile o estremamente lento Log delle transazioni (.LDF) non sincronizzati In alcuni casi, le copie di backup locali possono essere eliminate o crittografate
3️⃣ Impatto sul ripristino dei dati Il ripristino di un file .MDF crittografato dipende da diversi fattori:
Tipo di ransomware I ransomware classici crittografano il file senza eliminarlo I ransomware distruttivi possono sovrascrivere o eliminare il contenuto → ripristino quasi impossibile Disponibilità dei file di backup Backup non crittografato e offline: ripristino rapido Backup in rete: c’è il rischio che il ransomware abbia crittografato anche i backup Stato del file File completamente crittografato: richiede la ricostruzione da un backup File parzialmente danneggiato: strumenti specializzati possono tentare di estrarre i dati intatti Complessità del formato MDF L’MDF contiene strutture interne complesse (pagine, indici, tabelle) Gli strumenti di ripristino devono ricostruire le pagine affinché il database torni a funzionare
4️⃣ Buone pratiche dopo la crittografia dei file .MDF
Isolamento immediato
Scollegare il server SQL dalla rete
Identificare la variante del ransomware
Consente di determinare se è disponibile uno strumento di decrittografia
Rivolgersi a uno specialista nel ripristino dati dopo un attacco ransomware
Per i file MDF danneggiati, ricostruzione pagina per pagina
Conclusione
Un file .MDF crittografato da ransomware costituisce Un’emergenza critica:
Sintomi: database inaccessibile, estensioni modificate, errori di SQL Server Impatto: dipende dalla natura del ransomware Rischio massimo: perdita definitiva dei dati se il file viene distrutto o se non esiste un backup affidabile.