Борба са Петјом: наше искуство у проналажењу података из датотека Firebird базе података шифрованих ransomware крипто-вирусима

Као што знате, недавно је неколико крипто вируса напало многе компаније - најпознатији су Wannacry и Petya. Обично, како извештавају многе компаније, неопходно је платити откуп, или, у случају Petya, сви шифровани фајлови ће бити изгубљени.

Наша компанија је специјализована за консалтинг Firebird база података, пружамо алате за опоравак и оптимизацију, и, самим тим, имали смо неколико захтева од компанија које су претрпеле напад Petya и неких других ransomware вируса.

Petya је врста „лењог“ крипто вируса: обично шифрује само први мегабајт фајла, вероватно, да би свој прљави посао обавио што је брже могуће. Обично, губитак првог мегабајта на почетку Firebird базе података чини је нечитљивом: први мегабајт садржи важне системске информације о табелама и другим структурама. То је веома слично „нормалном“ оштећењу базе података, изазваном, на пример, хардверским кваром.

Штета је изгубити базу података од више гигабајта због губитка првог Mb. Срећом, наш алат за опоравак (IBSurgeon FIrstAID) може да преузме податке из Firebird и InterBase база података чак и у случајевима попут Petya: FirstAID ради на ниском нивоу, заобилазећи Firebird или InterBase engine, захтева минималну количину метаподатака да би извео записе из шифроване базе у нову.

Такође, IBSurgeon FirstAID може позајмити метаподатке структуре из друге базе: ако је доступна стара добра копија базе, могуће је користити је као извор метаподатака и извести све нешифроване податке.

Firebird базе података садрже странице једнаке величине: у најновијој верзији (3.0) подразумевана величина странице је 8k, у претходној 2.5 - 4kb. То значи да Petya шифрује или првих 128 страница (у случају величине странице од 8Kb) или 256 страница (у случају странице од 4k).

Као што можете видети на слици испод (то је снимак екрана интерне верзије IBSurgeon FirstAID), критичне системске странице (подаци за формате записа) обично почињу од странице 185 за базе са 8K страницама (то је подразумевано у Firebird 3.0) и, нажалост, од странице 171 за величину странице од 4k.

То значи да се Firebird 3 базе обично могу опоравити од Petya шифровања са стопом близу 100%, а Firebird 2.5 база ће захтевати позајмљивање спољних метаподатака да би се сачували подаци.

То значи да у овом конкретном случају можемо победити Petya: не губимо податке и не плаћамо откуп.

Већина купаца је известила да су успели да опораве Firebird базе од Petya помоћу IBSurgeon FirstAID.

Наравно, овај приступ не штити базе података од крипто вируса, али омогућава минимизирање губитака након такве катастрофе. Резервне копије и праћење базе података су такође веома важни као пасивно средство заштите од вируса и других катастрофа.

Више детаља о ransomware-у и Firebird-у: Како заштитити Firebird базе података од ransomware-а?

Слободно нас контактирајте са било којим питањима!