logo SOS Ransomware
Emergência 24/7

Ficheiro VHDX infetado por ransomware: sintomas, impacto e recuperação

1️⃣ Contexto

Os ficheiros VHDX são discos virtuais utilizados pelo Hyper-V, que frequentemente contêm sistemas operativos completos ou dados empresariais críticos. Quando um ransomware infeta o sistema anfitrião ou o próprio ficheiro VHDX, pode encriptar todo o conteúdo do disco virtual, tornando inacessíveis todos os ficheiros, aplicações e sistemas virtuais.

2️⃣ Sintomas de um VHDX encriptado estático ou dinâmico

Os sinais típicos de um ficheiro VHDX comprometido incluem:

  1. Inacessibilidade do disco virtual:
    • O ficheiro não pode ser montado no Hyper-V.
    • Mensagem de erro: “O disco virtual está corrompido ou ilegível”.
  2. Alteração da extensão ou do nome do ficheiro:
    • Alguns ransomwares renomeiam o ficheiro ou adicionam extensões como .locked, .anubis ou .crypt.
  3. Presença de uma nota de resgate:
    • Uma nota como README.txt ou RESTORE_FILES.html no diretório que contém o VHDX.
  4. Bloqueio do sistema convidado:
    • Mesmo que o Hyper-V tente montar o disco, os ficheiros internos permanecem ilegíveis ou corrompidos.

3️⃣ Impacto na recuperação de dados

A recuperação de dados a partir de um VHDX encriptado depende de vários fatores:

3.1 Tipo de ransomware

  • Alguns ransomwares incluem um wiper que sobrescreve o conteúdo do disco virtual, tornando qualquer recuperação convencional impossível.

3.2 Integridade do ficheiro VHDX

  • Se o ficheiro VHDX tiver sido modificado ou truncado, o disco virtual pode ficar corrompido.
  • O Hyper-V poderá não conseguir reconhecer o disco ou as partições.

3.3 Backups disponíveis

  • Os VHDX armazenados num NAS ou num servidor de rede também podem ter sido encriptados se o ransomware tiver tido acesso à rede.

3.4 Complexidade técnica

  • Os VHDX contêm frequentemente sistemas de ficheiros NTFS ou ReFS, que podem exigir uma reconstrução do sistema de ficheiros antes de ser possível aceder aos dados.
  • As ferramentas padrão de recuperação de ficheiros geralmente não são suficientes.

4️⃣Ferramentas e métodos

  1. Restauro a partir de um backup
    • Veeam, Hyper-V Backup, Synology Hyper Backup, fitas LTO.
  2. Reconstrução manual do sistema de ficheiros
  3. Desencriptação
    • Depende do ransomware.
  4. Extração seletiva
Em alguns VHDX parcialmente encriptados, apenas determinados ficheiros podem ser recuperados.

5️⃣ Boas práticas após um ataque de ransomware a um VHDX

  • Não tente abrir ou reparar o VHDX por conta própria, para evitar agravar a corrupção.
  • Isole o ficheiro VHDX num armazenamento seguro e fora da rede.
  • Recorra a um especialista em recuperação de dados após um ataque de ransomware.