logo SOS Ransomware
Kontakt 24/7
Synology BackUP

Fallstudie: Wiederherstellung von 5 TB durch die Ransomware Booba verschlüsselter Synology Hyper Backup-Daten

Am 29. Juni wurden ein IT-Dienstleister und seine in der Schweiz ansässigen Kunden Opfer eines schwerwiegenden Cyberangriffs, der von der Ransomware-Gruppe Booba durchgeführt wurde. Der Kunde verfügte insgesamt über 3 Synology NAS-Systeme.

Rufen Sie uns an: (+33) 1 84 60 41 12
Anfrage auf Intervention

📌 Zusammenfassung (TL;DR)

  • Infektion: Angriff durch die Ransomware Booba auf ein in der Schweiz ansässiges Unternehmen.

  • Problemstellung: Ein Teil der Backup-Daten konnte von einem anderen Labor nicht wiederhergestellt werden. Da Recoveo über umfangreiche Erfahrung mit dieser Art von Backup (Synology Hyper Backup) verfügt, wurde das Unternehmen mit der Wiederherstellung beauftragt. Die Ransomware Booba hatte einen Teil der Dateien des Hyper Backups verschlüsselt.

  • Lösung von SOS Ransomware / Recoveo: Maßgeschneiderte Forschung und Entwicklung (2 Tage Entwicklungsarbeit), die die Wiederherstellung von .bucket– und .chunk-Dateien ermöglichte.

  • Endergebnis: 5 TB Daten wiederhergestellt (1,8 Millionen Dateien), davon 98 % der Daten erfolgreich wiederhergestellt und an den Kunden zurückgegeben.

Kontext:

Der Kunde verfügte insgesamt über 3 Synology NAS-Systeme:

  • 1 NAS im Rechenzentrum: vollständig verschlüsselt.

  • 1 NAS als Backup vor Ort: von der Ransomware betroffen.

  • 1 NAS für virtuelle Maschinen (kleines Modell mit 4 Festplatten): nicht betroffen und funktionsfähig.

Glücklicherweise war die Proxmox-Infrastruktur des Kunden mit dem Proxmox Backup Server nicht betroffen. Dadurch konnte er alle betroffenen virtuellen Maschinen (etwa 50) innerhalb von weniger als 8 Stunden wieder in Betrieb nehmen.

Nur zwei seiner Kunden sowie er selbst waren weiterhin von Datenverlust betroffen. Von einem Kunden war noch eine virtuelle Maschine (Virtual DSM) vorhanden, die vollständig verschlüsselt worden war.

Vorausschauende Maßnahmen des Kunden zur Begrenzung der Auswirkungen der Ransomware
Der Kunde konnte einen Teil seiner Daten über ein anderes Datenrettungslabor wiederherstellen lassen. Als zusätzliche Sicherheitsmaßnahme hatte er außerdem die Backup-Daten des unbeschädigten NAS mithilfe der Befehlszeile rsync auf ein anderes System kopiert. Ein Teil der Backup-Daten konnte vom anderen Labor jedoch nicht wiederhergestellt werden. Da Recoveo über umfassendere Erfahrung mit diesem Backup-Typ (Synology Hyper Backup) verfügt, wurde Recoveo für diesen Auftrag hinzugezogen. Die Ransomware Booba hatte einen Teil der Dateien des Hyper Backups verschlüsselt. Insgesamt befanden sich 8 verschachtelte Freigabeordner im Hyper Backup (im .hbk-Format), von denen 2 bis 3 für den Kunden relevant waren. Dem Kunden war es dennoch gelungen, bestimmte Prozesse der Ransomware einzudämmen, wodurch unsere Chancen auf eine erfolgreiche Datenwiederherstellung maximiert werden konnten. Bestimmte wichtige Dateitypen und Dateierweiterungen waren von der Ransomware nicht betroffen.
fichiers chiffrés ransomware booba
Auflistung der von der Ransomware Booba betroffenen Dateien
Der Kunde wollte die reinen Datendateien wiederherstellen (Dateien ohne Dateierweiterung oder mit Erweiterungen wie .bucket, .chunk oder Dateien, deren Namen aus langen Zahlen- und Buchstabenfolgen bestehen): Dabei handelt es sich um die deduplizierten Datenblöcke. Es sind tatsächlich echte Dateien, die jedoch in kleinste Fragmente zerlegt, vermischt und verschlüsselt wurden.

Die Lösung: ein maßgeschneiderter technischer Eingriff

Ein proprietäres Tool, das bereits in rund zehn Fällen eingesetzt wurde

Bei einem ersten Wiederherstellungsversuch mit unserem intern entwickelten Tool, das bereits in rund zehn vorherigen Fällen eingesetzt wurde, konnte unser Ingenieurteam 3,89 TB an Chunks bzw. 1,5 Millionen Dateien wiederherstellen.

Ergebnis: 98 % der Daten innerhalb von 4 Werktagen wiederhergestellt

Nach 2 Tagen gezielter Entwicklungsarbeit für diesen speziellen Fall konnte unser F&E-Team die endgültige Liste der 5 TB an Daten (1,8 Mio. Dateien) erstellen. Insgesamt konnten somit 98 % der Daten wiederhergestellt und an den Kunden zurückgegeben werden.

Kundenstimme

“Mit Recoveo und seinem SOS Ransomware-Service konnten wir fast 100 % der Daten wiederherstellen, die wir zurückgewinnen wollten – nach mental sehr belastenden Tagen für uns infolge dieses Angriffs.“ — Geschäftsführer eines in der Schweiz ansässigen KMU
Geschäftsführer
In der Schweiz ansässiges KMU