Bestrijding van Petya: onze ervaring met het terugkrijgen van gegevens uit Firebird-databasebestanden die zijn versleuteld door ransomware-cryptovirussen

Zoals u weet, hebben recentelijk verschillende cryptovirussen veel bedrijven aangevallen - de meest bekende zijn Wannacry en Petya. Gewoonlijk, zoals door veel bedrijven wordt gerapporteerd, is het noodzakelijk om losgeld te betalen, of, in het geval van Petya, gaan alle versleutelde bestanden verloren.

Ons bedrijf is gespecialiseerd in Firebird databaseconsulting, wij leveren tools voor herstel en optimalisatie, en als gevolg daarvan kregen wij verschillende verzoeken van bedrijven die getroffen waren door de aanval van Petya en enkele andere ransomware.

Petya is een soort «luie» cryptovirus: gewoonlijk versleutelt het alleen de eerste megabyte van het bestand, waarschijnlijk om zijn vervelende werk zo snel mogelijk te doen. Gewoonlijk maakt het verlies van de eerste megabyte aan het begin van de Firebird database deze onleesbaar: de eerste megabyte bevat belangrijke systeeminformatie over tabellen en andere structuren. Dit lijkt sterk op de “normale” databasecorruptie, veroorzaakt door hardwarestoringen, bijvoorbeeld.

Het is jammer om een multi-gigabyte database te verliezen door het verlies van de eerste Mb. Gelukkig kan ons hersteltool (IBSurgeon FIrstAID) gegevens ophalen uit Firebird- en InterBase-databases, zelfs in gevallen zoals Petya: FirstAID werkt op laag niveau, waarbij de Firebird- of InterBase-engine wordt omzeild, en vereist een minimale hoeveelheid metadata om records uit de versleutelde database naar de nieuwe te exporteren.

Ook kan IBSurgeon FirstAID metadatastructuren lenen van een andere database: als er een oude goede kopie van de database beschikbaar is, is het mogelijk om deze als bron van metadata te gebruiken en alle niet-versleutelde gegevens te exporteren.

Firebird-databases bevatten pagina’s van gelijke grootte: in de meest recente versie (3.0) is de standaard paginagrootte 8k, in eerdere 2.5 - 4kb. Dit betekent dat Petya ofwel de eerste 128 pagina’s versleutelt (in het geval van 8Kb paginagrootte) of 256 pagina’s (in het geval van 4k pagina).

Zoals u kunt zien op de afbeelding hieronder (het is een screenshot van de interne versie van IBSurgeon FirstAID), beginnen de kritieke systeempagina’s (gegevens voor recordformaten) meestal vanaf pagina 185 voor databases met 8K pagina’s (dit is standaard in Firebird 3.0) en, helaas, vanaf pagina 171 voor paginagrootte 4k.

Dit betekent dat Firebird 3-databases gewoonlijk kunnen worden hersteld van Petya’s versleuteling met een slagingspercentage van bijna 100%, en Firebird 2.5-databases vereisen het lenen van externe metadata om de gegevens te redden.

Dit betekent dat we in dit specifieke geval Petya kunnen verslaan: we verliezen geen gegevens en betalen geen losgeld.

De meerderheid van de klanten heeft gerapporteerd dat ze Firebird-databases van Petya konden herstellen met IBSurgeon FirstAID.

Natuurlijk beschermt deze aanpak databases niet tegen de cryptovirussen, maar het maakt het mogelijk om verliezen na zo’n ramp te minimaliseren. Back-ups en databasemonitoring zijn ook zeer belangrijk als passieve beschermingsmiddelen tegen virussen en andere rampen.

Meer details over ransomware en Firebird: Hoe Firebird-databases te beschermen tegen ransomware?

Neem gerust contact met ons op met eventuele vragen!