Petya ile Mücadele: fidye yazılımı kripto virüsleri tarafından şifrelenmiş Firebird veritabanı dosyalarından veri kurtarma deneyimimiz

Bildiğiniz gibi, son zamanlarda birçok şirkete çeşitli kripto virüsleri saldırdı - en bilinenleri Wannacry ve Petya’dır. Genellikle, birçok şirketin bildirdiği gibi, fidye ödemek gerekir veya Petya durumunda, şifrelenmiş tüm dosyalar kaybolur.

Şirketimiz Firebird veritabanı danışmanlığında uzmanlaşmıştır, kurtarma ve optimizasyon için araçlar sağlıyoruz ve sonuç olarak, Petya ve diğer bazı fidye yazılımlarının saldırısına uğrayan şirketlerden birkaç talep aldık.

Petya bir tür “tembel” kripto virüsüdür: genellikle dosyanın yalnızca ilk megabaytını şifreler, muhtemelen kirli işini olabildiğince hızlı yapmak için. Genellikle, Firebird veritabanının başlangıcındaki ilk megabaytın kaybı onu okunamaz hale getirir: ilk megabayt, tablolar ve diğer yapılar hakkında önemli sistem bilgilerini içerir. Bu, örneğin donanım arızasından kaynaklanan “normal” veritabanı bozulmasına çok benzer.

İlk Mb’nin kaybı nedeniyle çok gigabaytlık bir veritabanını kaybetmek üzücüdür. Neyse ki, kurtarma aracımız (IBSurgeon FIrstAID) Firebird ve InterBase veritabanlarından Petya gibi durumlarda bile veri alabilir: FirstAID düşük seviyede çalışır, Firebird veya InterBase motorunu atlar, şifrelenmiş veritabanından kayıtları yeni bir veritabanına dışa aktarmak için minimum miktarda meta veri gerektirir.

Ayrıca, IBSurgeon FirstAID meta veri yapılarını başka bir veritabanından ödünç alabilir: mevcut eski ve iyi bir veritabanı kopyası varsa, bunu meta veri kaynağı olarak kullanmak ve şifrelenmemiş tüm verileri dışa aktarmak mümkündür.

Firebird veritabanları eşit boyutta sayfalar içerir: en son sürümde (3.0) varsayılan sayfa boyutu 8k’dir, önceki 2.5’te - 4kb’dir. Bu, Petya’nın ilk 128 sayfayı (8Kb sayfa boyutu durumunda) veya 256 sayfayı (4k sayfa durumunda) şifrelediği anlamına gelir.

Aşağıdaki resimde görebileceğiniz gibi (bu, IBSurgeon FirstAID’in dahili sürümünün bir ekran görüntüsüdür), kritik sistem sayfaları (kayıt formatları için veriler) genellikle 8K sayfalı veritabanları için 185. sayfadan başlar (Firebird 3.0’da varsayılandır) ve ne yazık ki, 4k sayfa boyutu için 171. sayfadan başlar.

Bu, Firebird 3 veritabanlarının genellikle Petya’nın şifrelemesinden %100’e yakın bir oranla kurtarılabileceği ve Firebird 2.5 veritabanının verileri kaydetmek için harici meta veri ödünç almayı gerektireceği anlamına gelir.

Bu, bu özel durumda Petya’yı yenebileceğimiz anlamına gelir: veri kaybetmeyiz ve fidye ödemeyiz.

Müşterilerin çoğu, IBSurgeon FirstAID ile Firebird veritabanlarını Petya’dan kurtarabildiklerini bildirmiştir.

Elbette, bu yaklaşım veritabanlarını kripto virüslerinden korumaz, ancak böyle bir felaketten sonra kayıpları en aza indirmeye olanak tanır. Yedeklemeler ve veritabanı izleme, virüslere ve diğer felaketlere karşı pasif koruma aracı olarak da çok önemlidir.

Fidye yazılımları ve Firebird hakkında daha fazla ayrıntı: Firebird veritabanlarını fidye yazılımlarından nasıl korursunuz?

Herhangi bir sorunuz için lütfen bizimle iletişime geçmekten çekinmeyin!