Bekämpfung von Petya: unsere Erfahrungen mit der Wiederherstellung von Daten aus Firebird-Datenbankdateien, die durch Ransomware-Krypto-Viren verschlüsselt wurden

Wie Sie wissen, haben in letzter Zeit mehrere Krypto-Viren viele Unternehmen angegriffen - die bekanntesten sind Wannacry und Petya. Wie viele Unternehmen berichten, ist es in der Regel notwendig, ein Lösegeld zu zahlen, oder, im Fall von Petya, gehen alle verschlüsselten Dateien verloren.

Unser Unternehmen ist auf Firebird-Datenbankberatung spezialisiert, wir bieten Werkzeuge für Wiederherstellung und Optimierung an, und folglich hatten wir mehrere Anfragen von Unternehmen, die von Petya und einigen anderen Ransomware-Arten betroffen waren.

Petya ist eine Art „fauler" Krypto-Virus: In der Regel verschlüsselt er nur das erste Megabyte der Datei, vermutlich, um seine böse Arbeit so schnell wie möglich zu erledigen. In der Regel macht der Verlust des ersten Megabytes am Anfang der Firebird-Datenbank diese unlesbar: Das erste Megabyte enthält wichtige Systeminformationen über Tabellen und andere Strukturen. Dies ist sehr ähnlich zur „normalen" Datenbankkorruption, die beispielsweise durch Hardwarefehler verursacht wird.

Es ist schade, eine Multi-Gigabyte-Datenbank aufgrund des Verlusts des ersten MB zu verlieren. Glücklicherweise kann unser Wiederherstellungswerkzeug (IBSurgeon FirstAID) Daten aus Firebird- und InterBase-Datenbanken sogar in Fällen wie Petya abrufen: FirstAID arbeitet auf niedriger Ebene, umgeht die Firebird- oder InterBase-Engine und benötigt nur ein Minimum an Metadaten, um Datensätze aus der verschlüsselten Datenbank in eine neue zu exportieren.

Darüber hinaus kann IBSurgeon FirstAID Metadatenstrukturen aus einer anderen Datenbank ausleihen: Wenn eine alte gute Kopie der Datenbank verfügbar ist, kann diese als Quelle für Metadaten verwendet werden, um alle unverschlüsselten Daten zu exportieren.

Firebird-Datenbanken enthalten Seiten gleicher Größe: In der neuesten Version (3.0) beträgt die Standard-Seitengröße 8 KB, in der vorherigen 2.5 - 4 KB. Das bedeutet, dass Petya entweder die ersten 128 Seiten (bei 8-KB-Seitengröße) oder 256 Seiten (bei 4-KB-Seitengröße) verschlüsselt.

Wie Sie im Bild unten sehen können (es ist ein Screenshot der internen Version von IBSurgeon FirstAID), beginnen die kritischen Systemseiten (Daten für Datensatzformate) normalerweise bei Seite 185 für Datenbanken mit 8-KB-Seiten (Standard in Firebird 3.0) und leider bei Seite 171 für eine Seitengröße von 4 KB.

Das bedeutet, dass Firebird-3-Datenbanken in der Regel mit einer Quote von nahezu 100 % aus Petyas Verschlüsselung wiederhergestellt werden können, während Firebird-2.5-Datenbanken das Ausleihen externer Metadaten erfordern, um die Daten zu retten.

Das bedeutet, dass wir in diesem speziellen Fall Petya besiegen können: Wir verlieren keine Daten und zahlen kein Lösegeld.

Die Mehrheit der Kunden hat berichtet, dass sie Firebird-Datenbanken mit IBSurgeon FirstAID aus Petya wiederherstellen konnten.

Natürlich schützt dieser Ansatz Datenbanken nicht vor Krypto-Viren, aber er ermöglicht es, Verluste nach einer solchen Katastrophe zu minimieren. Backups und Datenbanküberwachung sind ebenfalls sehr wichtig als passive Schutzmaßnahmen gegen Viren und andere Katastrophen.

Weitere Details zu Ransomware und Firebird: Wie schützt man Firebird-Datenbanken vor Ransomware?

Bitte zögern Sie nicht, uns bei Fragen zu kontaktieren!