logo SOS Ransomware
Emergencia 24/7
Synology BackUP

Caso de estudio: Recuperación de 5 TB de datos de Synology Hyper Backup cifrados por el ransomware Booba

El 29 de junio, un proveedor de servicios informáticos y sus clientes con sede en Suiza sufrieron un ciberataque grave perpetrado por el grupo de ransomware Booba. El cliente disponía de un total de 3 NAS Synology.

Llámenos : (+33) 1 84 60 41 12
Solicitud de intervención

📌 En resumen (TL;DR)

  • Infección: Ataque del ransomware Booba contra una empresa con sede en Suiza.

  • Problema: Otro laboratorio no pudo recuperar una parte de los datos de la copia de seguridad. Por ello, se solicitó la intervención de Recoveo, que cuenta con una mayor experiencia en este tipo de copias de seguridad (Synology Hyper Backup). De hecho, el ransomware Booba había cifrado una parte de los archivos de Hyper Backup.

  • Solución SOS Ransomware / Recoveo: I+D a medida (2 días de desarrollo) que permitió recuperar archivos .bucket, .chunk.

  • Resultado final: 5 TB de datos restaurados (1,8 millones de archivos), es decir, el 98 % de los datos recuperados y entregados al cliente.

Contexto:

El cliente disponía de un total de 3 NAS Synology:

  • 1 NAS en un centro de datos: completamente cifrado.

  • 1 NAS de copia de seguridad local: afectado por el ransomware.

  • 1 NAS dedicado a las máquinas virtuales (modelo pequeño con 4 discos): preservado y operativo.

Afortunadamente, la infraestructura Proxmox del cliente, junto con Proxmox Backup Server, no se vio afectada, por lo que pudo volver a poner en funcionamiento todas las máquinas virtuales afectadas (unas 50) en menos de 8 horas. Solo dos de sus clientes y él mismo seguían afectados por la pérdida de datos. Aún quedaba una máquina virtual (Virtual DSM) de uno de sus clientes que había sido completamente cifrada.
Medidas preventivas del cliente para limitar el impacto del ransomware
El cliente había podido recuperar parte de sus datos a través de otro laboratorio de recuperación de datos. Como medida de seguridad, también había copiado los datos de la copia de seguridad del NAS intacto en otro sistema (mediante una línea de comandos rsync). Sin embargo, el otro laboratorio no había podido recuperar una parte de los datos de la copia de seguridad. Por ello, se solicitó la intervención de Recoveo, que cuenta con una mayor experiencia en este tipo de copias de seguridad (Synology Hyper Backup). De hecho, el ransomware Booba había cifrado una parte de los archivos de Hyper Backup. En total, había 8 carpetas compartidas anidadas dentro de Hyper Backup (en formato .hbk), de las cuales 2 o 3 eran de especial interés para el cliente. No obstante, el cliente había conseguido contener determinados procesos del ransomware, lo que permitió maximizar nuestras posibilidades de recuperación. Algunos tipos de archivos y extensiones clave no se habían visto afectados por el ransomware.
fichiers chiffrés ransomware booba
Listado de archivos afectados por el ransomware Booba

El cliente buscaba recuperar los archivos de datos puros (archivos sin extensión o con extensiones como .bucket*,* .chunk*, o archivos cuyos nombres están compuestos por largas secuencias de números y letras): son los «bloques» de datos deduplicados. Son archivos reales, pero han sido fragmentados, mezclados y cifrados.*

La solución: una intervención técnica a medida

Una herramienta propia utilizada ya en una decena de casos

Durante un primer trabajo de recuperación mediante nuestra herramienta desarrollada internamente y utilizada en una decena de casos anteriores, nuestro equipo de ingenieros pudo recuperar 3,89 TB de chunks, es decir, 1,5 millones de archivos.

Resultado: 98 % de los datos recuperados en 4 días laborables

Tras 2 días de desarrollo específico y dedicado a este caso, nuestro equipo de I+D pudo obtener la lista final de 5 TB de datos (1,8 millones de archivos), lo que supone el 98 % de los datos recuperados y entregados al cliente.

Testimonio

« Con Recoveo y su servicio SOS Ransomware, pudimos recuperar casi el 100 % de los datos que queríamos recuperar, después de unos días mentalmente agotadores para nosotros tras este ataque.» — Director de una PYME con sede en Suiza
Director
PYME con sede en Suiza