Una empresa del sector de la fontanería vio repentinamente paralizada toda su actividad. En sus pantallas apareció una extensión amenazante: .mkp. El ransomware MAKOP acababa de atacar.
Ante un chantaje financiero de 15 000 €, y siguiendo el consejo de uno de nuestros socios de ciberseguridad, la empresa se negó a pagar a los cibercriminales.
El verdadero desafío: su copia de seguridad dependía de Drive Snapshot, un software alemán de nicho, cuyos archivos de imagen de disco .sna raras veces son procesados por expertos en recuperación convencional. Fue en este punto cuando el equipo informático decidió delegar el caso al laboratorio especial de Recoveo.
📌 Resumen del caso técnico de recuperación
| Entidad | Detalle de la incidencia |
| Sector de la víctima | Fontanería e instalaciones hidráulicas |
| Amenaza informática | Ransomware MAKOP (extensiones .makop / .mkp) |
| Archivos afectados | Base de datos MS SQL (.mdf / .ldf) y Backup Drive Snapshot (.sna) |
| Rescate solicitado | 15 000 € (No pagado) |
| Volumen de datos entregado | 535 GB |
| Solución aplicada | Herramienta propietaria de reconstrucción del departamento I+D de Recoveo |
| Resultado final | 100% de recuperación en la base de datos SQL y 99.9% en el resto de archivos |
El desafío: Base de datos SQL y copia de seguridad .SNA cifradas
Al analizar la infraestructura de la empresa, nuestros ingenieros identificaron una arquitectura clásica sin virtualización moderna. El ransomware MAKOP atacó el núcleo del sistema, cifrando tanto el servidor activo como el sistema de respaldo.
¿Qué es el ransomware MAKOP (.mkp)?
Según las alertas oficiales de ciberseguridad, MAKOP es una variante de la familia de ransomware Phobos detectada desde 2020. Aunque se considera un actor cibernético de segundo nivel, ha afectado a cientos de empresas europeas atacando servidores expuestos a través del protocolo RDP (Remote Desktop Protocol).
El caso poco común del software Drive Snapshot (Tom Ehlert)
El archivo de respaldo dañado procedía de Drive Snapshot, un software desarrollado por Tom Ehlert – Software & Consulting (Alemania).
- Formato de archivo:
.sna(Real-time disk imaging). - Características: Ejecutable ligero sin instalación, popular entre administradores de sistemas (sysadmins) desde Windows NT/2000.
- Uso industrial: Integrado por empresas de gestión de infraestructuras como Ondeso para copias de seguridad en entornos OT (Windows NT4 a Windows 11).
La rareza de este formato en ataques masivos hace que los software de desencriptado comerciales no sepan interpretar la estructura interna de los bloques de un archivo .sna parcialmente destruido.
DriveSnapshot
Intervención de Recoveo: I+D y reconstrucción propietaria
Para superar el cifrado del encabezado, el departamento de I+D de Recoveo utilizó su nueva herramienta de ingeniería inversa de archivos.
Análisis de bloques: Se identificó una tasa de supervivencia masiva (solo 570 páginas corruptas de 185 000, un 0,3% de pérdida bruta).
Lista de datos prioritarios del cliente (.mdf y .ldf) cifrados en .mkp
Una alternativa concreta al pago de un rescate de 15 000 €
Dato clave: Este enfoque quirúrgico ofrece resultados hasta un 30% superiores en comparación con los programas estándar de recuperación de datos comercializados en el mercado.
Recuperación de tablas huérfanas: Debido al cifrado del header de la base de datos MS SQL, las tablas quedaron desvinculadas. La herramienta de Recoveo reconstruyó la asignación lógica recuperando 149 tablas y casi 400 000 filas adicionales.
Prueba de consulta en base de datos funcional
Éxito: 100% de la base de datos SQL restaurada a la fecha de la última copia válida.
Entregable: Archivo contenedor comprimido con los 535 GB de información extraída del .sna de Drive Snapshot.
Declaración del Ingeniero en Ciberseguridad
«Este caso demuestra que una base de datos MS SQL cifrada por un ransoftware no está definitivamente perdida. Aunque el encabezado (
header) esté destruido por el malware MAKOP, nuestra tecnología permite reparar las tablas y páginas internas para devolver una base de datos 100% funcional sin ceder al chantaje.»
Si sus bases de datos MS SQL (.mdf) o sus sistemas de respaldo están cifrados por un ransoftware:
🚫 No pague el rescate: No hay garantía de recibir la clave de descifrado.
🚫 No intente sobrescribir los archivos: Podría destruir las páginas recuperables.
📞 Contacte a Recoveo: Solicite un diagnóstico urgente y análisis de viabilidad sin compromiso.
📞 Request an Emergency Database Recovery Assessment
