Boj s Petyou: naše zkušenosti s obnovou dat ze souborů databáze Firebird zašifrovaných ransomware krypto-viry

Jak víte, v poslední době napadlo několik kryptovirů mnoho společností - nejznámější jsou Wannacry a Petya. Obvykle, jak uvádí mnoho společností, je nutné zaplatit výkupné, nebo v případě Petyi budou všechny zašifrované soubory ztraceny.

Naše společnost se specializuje na poradenství v oblasti databází Firebird, poskytujeme nástroje pro obnovu a optimalizaci, a proto jsme obdrželi několik žádostí od společností, které byly napadeny Petyou a dalšími ransomwary.

Petya je druh „líného“ kryptoviru: obvykle šifruje pouze první megabajt souboru, pravděpodobně proto, aby svou nepříjemnou práci provedl co nejrychleji. Obvykle ztráta prvního megabajtu na začátku databáze Firebird způsobí, že je nečitelná: první megabajt obsahuje důležité systémové informace o tabulkách a dalších strukturách. Je to velmi podobné „běžnému“ poškození databáze způsobenému například selháním hardwaru.

Je škoda ztratit vícegigabajtovou databázi kvůli ztrátě prvního MB. Naštěstí náš nástroj pro obnovu (IBSurgeon FIrstAID) dokáže získat data z databází Firebird a InterBase i v případech, jako je Petya: FirstAID pracuje na nízké úrovni, obchází engine Firebird nebo InterBase, a vyžaduje minimální množství metadat k exportu záznamů ze zašifrované databáze do nové.

Také IBSurgeon FirstAID může převzít struktury metadat z jiné databáze: pokud je k dispozici stará dobrá kopie databáze, je možné ji použít jako zdroj metadat a exportovat všechna nezašifrovaná data.

Databáze Firebird obsahují stránky stejné velikosti: v nejnovější verzi (3.0) je výchozí velikost stránky 8k, v předchozí 2.5 - 4kb. To znamená, že Petya šifruje buď prvních 128 stránek (v případě velikosti stránky 8Kb) nebo 256 stránek (v případě velikosti stránky 4k).

Jak můžete vidět na obrázku níže (jedná se o snímek obrazovky interní verze IBSurgeon FirstAID), kritické systémové stránky (data pro formáty záznamů) obvykle začínají od stránky 185 pro databáze s 8K stránkami (to je výchozí ve Firebird 3.0) a bohužel od stránky 171 pro velikost stránky 4k.

To znamená, že databáze Firebird 3 lze obvykle obnovit ze šifrování Petya s mírou blížící se 100 %, a databáze Firebird 2.5 bude vyžadovat zapůjčení externích metadat k uložení dat.

To znamená, že v tomto konkrétním případě můžeme Petyu porazit: neztrácíme data a neplatíme výkupné.

Většina zákazníků uvedla, že byli schopni obnovit databáze Firebird z Petyi pomocí IBSurgeon FirstAID.

Samozřejmě, tento přístup nechrání databáze před kryptoviry, ale umožňuje minimalizovat ztráty po takové katastrofě. Zálohy a monitorování databází jsou také velmi důležité jako pasivní prostředek ochrany proti virům a jiným katastrofám.

Více podrobností o ransomwaru a Firebird: Jak chránit databáze Firebird před ransomwarem?

Neváhejte nás kontaktovat s jakýmikoli dotazy!