logo SOS Ransomware
Urgenza 24/7

File VHDX infettato da ransomware: sintomi, impatto e recupero

1️⃣ Contesto

I file VHDX sono dischi virtuali utilizzati da Hyper-V, che spesso contengono sistemi operativi completi o dati aziendali critici. Quando un ransomware infetta il sistema host o il file VHDX stesso, può cifrare l’intero contenuto del disco virtuale, rendendo inaccessibili tutti i file, le applicazioni e i sistemi virtuali.

2️⃣ Sintomi di un VHDX cifrato statico o dinamico

I segnali tipici di un file VHDX compromesso includono:

  1. Inaccessibilità del disco virtuale:
    • Il file non può essere montato in Hyper-V.
    • Messaggio di errore: “Il disco virtuale è danneggiato o illeggibile”.
  2. Modifica dell’estensione o del nome del file:
    • Alcuni ransomware rinominano il file o aggiungono estensioni come .locked, .anubis o .crypt.
  3. Presenza di una richiesta di riscatto:
    • Un file come README.txt o RESTORE_FILES.html viene lasciato nella directory contenente il VHDX.
  4. Blocco del sistema guest:
    • Anche se Hyper-V tenta di montare il disco, i file interni rimangono illeggibili o danneggiati.

3️⃣ Impatto sul recupero dei dati

Il recupero dei dati da un VHDX cifrato dipende da diversi fattori:

3.1 Tipo di ransomware

  • Alcuni ransomware includono un wiper che sovrascrive il contenuto del disco virtuale, rendendo qualsiasi recupero convenzionale impossibile.

3.2 Integrità del file VHDX

  • Se il file VHDX è stato modificato o troncato, il disco virtuale può risultare corrotto.
  • Hyper-V potrebbe non essere in grado di riconoscere il disco o le partizioni.

3.3 Backup disponibili

  • I VHDX archiviati su un NAS o su un server di rete possono essere stati anch’essi cifrati se il ransomware ha avuto accesso alla rete.

3.4 Complessità tecnica

  • I VHDX contengono spesso file system NTFS o ReFS, che possono richiedere una ricostruzione del file system prima di poter accedere ai dati.
  • Gli strumenti standard di recupero dei file generalmente non sono sufficienti.

4️⃣ Strumenti e metodi

  1. Ripristino da backup
    • Veeam, Hyper-V Backup, Synology Hyper Backup, nastri LTO.
  2. Ricostruzione manuale del file system
  3. Decrittazione
    • Dipende dal ransomware.
  4. Estrazione selettiva

In alcuni VHDX parzialmente cifrati, è possibile recuperare solo determinati file.

5️⃣ Buone pratiche dopo un attacco ransomware a un VHDX

  • Non tentare di aprire o riparare il VHDX autonomamente, per evitare di aggravare la corruzione.
  • Isolare il file VHDX su un supporto di archiviazione sicuro e fuori dalla rete.
  • Affidarsi a uno specialista nel recupero dei dati dopo un attacco ransomware.