Lotta contro Petya: la nostra esperienza nel recupero dei dati dai file di database Firebird crittografati da crypto-virus ransomware

Come sapete, recentemente diversi virus informatici di tipo crypto hanno attaccato molte aziende - i più noti sono Wannacry e Petya. Di solito, come riportato da molte aziende, è necessario pagare un riscatto, oppure, nel caso di Petya, tutti i file crittografati andranno persi.

La nostra azienda è specializzata nella consulenza su database Firebird, forniamo strumenti per il recupero e l’ottimizzazione e, di conseguenza, abbiamo ricevuto diverse richieste da aziende colpite dall’attacco di Petya e di altri ransomware.

Petya è un tipo di cryptovirus “pigro”: di solito crittografa solo il primo megabyte del file, probabilmente per fare il suo sporco lavoro il più velocemente possibile. Di solito, la perdita del primo megabyte all’inizio del database Firebird lo rende illeggibile: il primo megabyte contiene importanti informazioni di sistema su tabelle e altre strutture. È molto simile al “normale” danneggiamento del database, causato ad esempio da un guasto hardware.

È un peccato perdere un database di diversi gigabyte a causa della perdita del primo Mb. Fortunatamente, il nostro strumento di recupero (IBSurgeon FIrstAID) può recuperare dati dai database Firebird e InterBase anche in casi come Petya: FirstAID lavora a basso livello, bypassando il motore Firebird o InterBase, richiede una quantità minima di metadati per esportare i record dal database crittografato in uno nuovo.

Inoltre, IBSurgeon FirstAID può prendere in prestito le strutture dei metadati da un altro database: se è disponibile una vecchia copia valida del database, è possibile usarla come fonte di metadati ed esportare tutti i dati non crittografati.

I database Firebird contengono pagine di dimensioni uguali: nella versione più recente (3.0) la dimensione predefinita della pagina è 8k, nelle precedenti 2.5 - 4kb. Ciò significa che Petya crittografa o le prime 128 pagine (nel caso di dimensione pagina 8Kb) o 256 pagine (nel caso di pagina 4k).

Come potete vedere nell’immagine qui sotto (è uno screenshot della versione interna di IBSurgeon FirstAID), le pagine di sistema critiche (dati per i formati dei record) di solito iniziano dalla pagina 185 per database con pagine da 8K (è il default in Firebird 3.0) e, sfortunatamente, dalla pagina 171 per dimensione pagina 4k.

Ciò significa che i database Firebird 3 possono di solito essere recuperati dalla crittografia di Petya con un tasso vicino al 100%, e i database Firebird 2.5 richiederanno di prendere in prestito metadati esterni per salvare i dati.

Ciò significa che in questo caso specifico possiamo sconfiggere Petya: non perdiamo dati e non paghiamo riscatti.

La maggior parte dei clienti ha riferito di essere riuscita a recuperare database Firebird da Petya con IBSurgeon FirstAID.

Naturalmente, l’approccio non protegge i database dai crypto-virus, ma consente di minimizzare le perdite dopo tale disastro. Anche i backup e il monitoraggio del database sono molto importanti come mezzi passivi di protezione contro virus e altri disastri.

Maggiori dettagli su ransomware e Firebird: Come proteggere i database Firebird dal ransomware?

Non esitate a contattarci per qualsiasi domanda!