Recuperação de bases de dados MS SQL Server em máquinas virtuais VHDX dinâmicas encriptadas por ransomware
Recuperamos todos os tipos de bases de dados, em todos os seus suportes profissionais, 24 horas por dia, 7 dias por semana.
Reparação de ficheiros .MDF, .NDF e .LDF, entre outros, bem como de instâncias encriptadas, tabelas e índices corrompidos.
Soluções personalizadas, adaptadas às necessidades específicas da sua empresa.
Transferências seguras Laboratório francês independente, há mais de 20 anos.
Contexto da Intervenção
Uma PME dinamarquesa especializada no fornecimento de equipamentos técnicos para farmácias contactou a Recoveo após os seus dados terem sido encriptados por um ransomware. Perante a urgência operacional, o diretor da empresa deslocou-se pessoalmente às nossas instalações para nos entregar os suportes afetados.
Elementos Técnicos Recebidos
Três ficheiros VHDX foram enviados para o nosso laboratório, correspondentes às seguintes Máquinas Virtuais (VM):
- VM DK: máquina virtual encriptada, contendo as bases de dados críticas
- VM NL: máquina virtual encriptada, acompanhada de uma cópia de segurança com 8 meses
- Processamento da VM NL: as nossas equipas conseguiram reconstruir os dados para o seu estado atual em menos de 24 horas.
Processamento da VM DK: esta máquina virtual constituiu o núcleo da intervenção. O cliente pretendia recuperar duas bases de dados Microsoft SQL Server — um ficheiro .MDF de 16 MB e um ficheiro .MDF de 15 GB.
O ficheiro de 16 MB foi recuperado e entregue no próprio dia. O ficheiro de 15 GB exigiu um procedimento de investigação avançada.
Dificuldades Técnicas Encontradas
Falha das ferramentas de recuperação convencionais
As nossas equipas testaram quatro programas de recuperação habitualmente utilizados em casos convencionais. Os ficheiros extraídos revelaram-se corrompidos e impossíveis de utilizar.Particularidades das máquinas virtuais dinâmicas
O formato VHDX dinâmico baseia-se numa tabela de alocação que indica a localização de cada bloco de dados dentro do ficheiro. Neste caso específico, o ransomware destruiu menos de 0,5% do início da máquina virtual — uma zona que contém precisamente essa tabela. Esta destruição, embora mínima em termos de volume, tornou tecnicamente impossível qualquer recuperação através dos métodos convencionais.
Este tipo de dano num ficheiro VHDX dinâmico continua a ser pouco documentado na literatura especializada, o que tornou a fase de diagnóstico particularmente exigente.
Procedimento de Recuperação Avançada
Ativação da unidade de I&D
Perante o insucesso das abordagens convencionais, a unidade de Investigação e Desenvolvimento da Recoveo foi mobilizada. Três engenheiros trabalharam simultaneamente no caso, com o objetivo de adaptar as nossas ferramentas proprietárias a esta situação inédita.Resultado intermédio
Após 72 horas de investigação, um dos engenheiros identificou um método de reconstrução parcial das estruturas internas da base de dados, permitindo recuperar 90% das tabelas.Entrega e validação
Foram produzidas três versões sucessivas do ficheiro reconstruído, de forma a maximizar a abrangência da recuperação. Foi instalada uma plataforma de testes para validação. Em menos de uma hora, o cliente confirmou que a tabela principal da base de dados tinha sido recuperada a 100% na primeira versão entregue, permitindo a retoma imediata da atividade.Perante o insucesso das abordagens convencionais, a unidade de Investigação e Desenvolvimento (I&D) da Recoveo foi mobilizada. Três engenheiros trabalharam simultaneamente no caso, com o objetivo de adaptar as nossas ferramentas proprietárias a esta situação inédita.
Após 72 horas de investigação, um dos engenheiros identificou um método de reconstrução parcial das estruturas internas da base de dados, permitindo recuperar .
Foram produzidas três versões sucessivas do ficheiro reconstruído, de forma a maximizar a abrangência da recuperação. Foi instalada uma plataforma de testes para validação. Em menos de uma hora, o cliente confirmou que , permitindo a retoma imediata da atividade.
Pontos principais da intervenção
| Elemento | Resultado |
|---|---|
| VM NL — ficheiro MDF de 8 GB | Recuperado em menos de 24 horas |
| VM DK — ficheiro MDF de 16 MB | Recuperado no próprio dia |
| VM DK — ficheiro MDF de 15 GB | Tabela principal recuperada a 100% |
| Tempo total de investigação e desenvolvimento (I&D) | 72 horas |
Lições Aprendidas
Este caso ilustra um problema crescente: os ataques de ransomware visam agora zonas específicas e estratégicas dos sistemas de ficheiros virtuais, tornando ineficazes as ferramentas de recuperação generalistas. A capacidade de adaptar ferramentas personalizadas a casos não documentados constitui um fator diferenciador essencial a nível técnico.
Este tipo de intervenção, que mobiliza a unidade de I&D, representa entre 4 e 5 casos por ano na Recoveo.
Solicite uma avaliação
Após recebermos o seu pedido, organizaremos uma chamada técnica com os nossos engenheiros.