Il ransomware MAKOP ha appena colpito. Di fronte a un ricatto finanziario di 15.000 € e seguendo i preziosi consigli di uno dei nostri partner, l’azienda decide di non cedere alle richieste dei cybercriminali. Il problema: il backup si basa su Drive Snapshot, un software tedesco di nicchia, estremamente essenziale, i cui file .sna sono raramente incontrati dagli esperti. È a questo punto che il team IT e il produttore del software decidono di affidare il caso al laboratorio Recoveo.
In breve: successo nel recupero dopo un attacco ransomware da parte di Recoveo:Azienda vittima: Settore idraulico
Minaccia: Ransomware MAKOP (.makop / .mkp)
Obiettivo: Database MS SQL (.mdf / .ldf) e backup Drive Snapshot (.sna)
Riscatto richiesto (stima): 15.000 € (Non pagato)
Volume di dati recuperati: 535 GB
Soluzione Recoveo: Strumento di ricostruzione proprietario sviluppato dal nostro reparto R&S
Risultato finale: 100% di recupero del database e 99,9% del resto dei dati.
La sfida: un database SQL e un backup di uno strumento di nicchia (.SNA) cifrati
Analizzando l’infrastruttura dell’azienda, emerge subito un dato: qui non ci sono né virtualizzazione moderna né container. Il ransomware MAKOP ha colpito il cuore dell’infrastruttura, cifrando il backup.
Cos’è il ransomware MAKOP (.mkp)?
Secondo l’Agence du Numérique, collegata al Ministero della Salute francese, MAKOP è un ceppo di ransomware comparso nel 2020. Viene spesso considerato una variante della famiglia Phobos. Nonostante abbia colpito circa un centinaio di aziende europee, questo gruppo di cybercriminali è comunque considerato un attore di secondo piano nel panorama della criminalità informatica.
Il raro caso del software Drive Snapshot di Tom Ehlert
Il backup proveniva da un produttore con cui avevamo avuto finora pochissimi casi, nel formato Drive Snapshot (.sna). Un formato raro, sviluppato da Tom Ehlert – Software & Consulting, fondata nell’ottobre 2000 e con sede in Germania, che sviluppa una soluzione di imaging dei dischi in tempo reale (Real-time disk imaging).
Il loro software Drive Snapshot esiste dal 2002. Drive Snapshot è uno strumento estremamente essenziale, la cui interfaccia è rimasta praticamente invariata dai tempi di Windows NT o Windows 2000.
Interfaccia di DriveSnapshot
Abbastanza popolare tra gli amministratori di sistema (sysadmin), in Germania, il suo Paese d’origine, Drive Snapshot gode di una solida reputazione di «eroe nell’ombra» presso la vecchia guardia dei tecnici informatici.
La sua capacità di creare immagini del disco a caldo senza riavviare il sistema, la sua portabilità (un unico file eseguibile senza installazione) e la sua leggerezza lo rendono uno strumento ideale per gli script di manutenzione. È probabilmente proprio in questo ambito che detiene la sua maggiore quota di mercato indiretta.
Alcune aziende tedesche specializzate nella gestione di infrastrutture industriali, come Ondeso, integrano ufficialmente la licenza di Drive Snapshot nelle proprie suite software per automatizzare i backup industriali (OT) di PC industriali e macchinari di produzione, alcuni dei quali molto datati, da Windows NT4 fino a Windows 11.
L’intervento di Recoveo: R&S e il nostro strumento di riparazione
Per superare questo ostacolo, i nostri team hanno utilizzato il nostro nuovo strumento interno di ricostruzione, ancora in fase di sviluppo.
I risultati dell’analisi hanno evidenziato un eccellente tasso di sopravvivenza: solo 570 pagine non valide (cifrate) su quasi 185.000, ovvero appena lo 0,3% di perdita lorda.
Tuttavia, la cifratura dell’intestazione aveva provocato errori temporanei in alcune tabelle, rendendo parte dei dati orfani.
Elenco dei dati prioritari del cliente (.mdf e .ldf) cifrati con estensione .mkp
Il nostro reparto R&S ha quindi spinto l’elaborazione ancora oltre…
Un’alternativa concreta al pagamento di un riscatto di 15.000 €
Grazie a questo approccio chirurgico, che offre risultati almeno del 30% superiori rispetto ai software di recupero tradizionali, il cliente ha potuto evitare il ricatto degli aggressori.
Dopo un ulteriore progresso nella ricerca e sviluppo, il nostro strumento di riparazione ha permesso di recuperare 149 tabelle e quasi 400.000 righe aggiuntive. Per ciascuno dei dati orfani, viene inoltre proposta una corrispondenza al cliente.
Test di una query su un database funzionante
Tasso di recupero finale: 100% dei dati disponibili alla data dell’ultimo backup valido (16/05/2026), restituiti insieme a un file ZIP contenente la totalità dei dati recuperati dal Drive Snapshot (535 GB).
Nonostante il carattere inedito del software di backup SNA cifrato da MAKOP affrontato dai nostri ingegneri, questi sono riusciti a ottenere un recupero del 100% del database e del 99,9% del resto dei dati. Il cliente ha potuto recuperare la totalità dei propri dati in meno di due settimane!
La parola dell’ingegnere: Questo caso dimostra che un database MS SQL cifrato non è necessariamente perso per sempre. Anche quando l’intestazione del database è stata cifrata dal ransomware, la nostra esperienza può consentire di riparare tabelle e righe per rendere nuovamente utilizzabile il database. Inoltre, continuiamo a sviluppare la nostra esperienza sui backup più «di nicchia», come Drive Snapshot.
Di fronte al ransomware MAKOP, questa vittoria non è frutto della fortuna: è il risultato di una competenza approfondita in Drive Snapshot e nel recupero d’emergenza dei dati.
I vostri database SQL sono stati cifrati o danneggiati da un ransomware? Come in questo complesso caso Drive Snapshot, i nostri ingegneri R&S sviluppano soluzioni su misura per recuperare i vostri dati senza pagare il riscatto.
📞 Richiedete un’analisi d’urgenza del vostro database:
