Luchando contra Petya: nuestra experiencia recuperando datos de archivos de bases de datos Firebird cifrados por criptovirus ransomware

Como sabes, recientemente varios virus criptográficos han atacado a muchas empresas; los más conocidos son Wannacry y Petya. Generalmente, según informan muchas empresas, es necesario pagar un rescate o, en el caso de Petya, todos los archivos cifrados se perderán.

Nuestra empresa se especializa en consultoría de bases de datos Firebird, proporcionamos herramientas para recuperación y optimización y, en consecuencia, recibimos varias solicitudes de empresas que sufrieron el ataque de Petya y otros ransomware.

Petya es un tipo de criptovirus «perezoso»: normalmente, cifra solo el primer megabyte del archivo, probablemente, para hacer su trabajo sucio lo más rápido posible. Generalmente, la pérdida del primer megabyte al inicio de la base de datos Firebird la hace ilegible: el primer megabyte contiene información importante del sistema sobre tablas y otras estructuras. Es muy similar a la corrupción “normal” de la base de datos, causada por fallos de hardware, por ejemplo.

Es una pena perder una base de datos de varios gigabytes debido a la pérdida del primer Mb. Afortunadamente, nuestra herramienta de recuperación (IBSurgeon FIrstAID) puede recuperar datos de bases de datos Firebird e InterBase incluso en casos como Petya: FirstAID trabaja a bajo nivel, omitiendo el motor de Firebird o InterBase, requiere la cantidad mínima de metadatos para exportar registros de la base de datos cifrada a una nueva.

Además, IBSurgeon FirstAID puede tomar prestadas estructuras de metadatos de otra base de datos: si hay una copia antigua y buena de la base de datos disponible, es posible usarla como fuente de metadatos y exportar todos los datos no cifrados.

Las bases de datos Firebird contienen páginas de igual tamaño: en la versión más reciente (3.0) el tamaño de página predeterminado es 8k, en la anterior 2.5 - 4kb. Esto significa que Petya cifra las primeras 128 páginas (en el caso de tamaño de página de 8Kb) o 256 páginas (en el caso de página de 4k).

Como puedes ver en la imagen a continuación (es una captura de pantalla de la versión interna de IBSurgeon FirstAID), las páginas críticas del sistema (datos para formatos de registro) generalmente comienzan en la página 185 para bases de datos con páginas de 8K (es el valor predeterminado en Firebird 3.0) y, desafortunadamente, desde la página 171 para tamaño de página de 4k.

Esto significa que las bases de datos de Firebird 3 generalmente se pueden recuperar del cifrado de Petya con una tasa cercana al 100%, y la base de datos de Firebird 2.5 requerirá tomar prestados metadatos externos para guardar los datos.

Esto significa que en este caso específico podemos vencer a Petya: no perdemos datos y no pagamos rescate.

La mayoría de los clientes han informado que pudieron recuperar bases de datos Firebird de Petya con IBSurgeon FirstAID.

Por supuesto, el enfoque no protege las bases de datos de los criptovirus, pero permite minimizar pérdidas después de tal desastre. Las copias de seguridad y el monitoreo de bases de datos también son muy importantes como medios pasivos de protección contra virus y otros desastres.

Más detalles sobre ransomware y Firebird: ¿Cómo proteger bases de datos Firebird del ransomware?

No dudes en contactarnos con cualquier pregunta!