Recuperar Ransomware: Especialistas em Descriptografia

Um dos aspectos mais devastadores dos ataques de ransomware modernos é a destruição deliberada dos backups antes da cifragem dos dados de produção. Os grupos criminosos mais sofisticados passam dias ou semanas dentro da rede da vítima antes de executar o ataque — mapeando silenciosamente a infraestrutura, identificando todos os sistemas de backup, storages secundários e snapshots, e preparando a destruição simultânea de todas as cópias de segurança no momento do ataque. Quando a empresa descobre o ransomware e pensa em restaurar o backup, o backup já não existe.

A recuperação de ransomware em cenários onde os backups foram destruídos é tecnicamente possível em grande parte dos casos — porque a destruição dos backups, assim como a cifragem dos dados primários, raramente é tão completa quanto aparenta. Hackers executam deleções rápidas e formatações superficiais para agir com velocidade — e essa velocidade cria as janelas de recuperação forense que nossa engenharia explora.

Como os Atacantes Destroem os Backups

Para compreender por que a recuperação de dados de ransomware de backups destruídos é possível, é necessário entender como os atacantes executam essa destruição. Os métodos mais comuns são tecnicamente distintos e deixam diferentes tipos de vestígios recuperáveis.

O método mais comum é a execução do comando vssadmin delete shadows /all /quiet no Windows — que deleta todas as Shadow Copies do sistema operacional. Esse comando remove as referências às Shadow Copies no catálogo do VSS mas não apaga fisicamente os blocos de dados dos snapshots nas mídias. Os blocos permanecem fisicamente intactos no disco até que novos dados sejam gravados por cima — e a engenharia forense consegue localizar e extrair esses blocos órfãos via análise direta das imagens brutas sem depender do catálogo VSS destruído.

O segundo método é a deleção dos arquivos de backup — arquivos Veeam .VBK e .VIB, Windows Server Backup .wbcat, Acronis .tibx, e similares. Assim como qualquer arquivo deletado, os blocos de dados permanecem fisicamente intactos nas mídias até a sobrescrita. A engenharia forense de recuperação de ransomware localiza esses arquivos deletados via varredura de inodes no sistema de arquivos NTFS ou EXT4, extrai as imagens de backup completas e as utiliza para restauração do ambiente — mesmo que o catálogo de backup tenha sido destruído.

O terceiro método é a formatação dos volumes de backup — NAS dedicados, storages externos ou partições de backup local formatadas pelo atacante para garantir a destruição das cópias de segurança. Como demonstrado no caso real da Politécnica Engenharia que atendemos — onde o hacker acessou e formatou o NAS de backup Lenovo com 4 HDs de 2TB após cifrar o servidor principal — a formatação apaga apenas a estrutura lógica do volume, não os dados físicos. A engenharia forense reconstrói o RAID Linux, remonta o sistema de arquivos EXT4 ignorando a formatação sobreposta e extrai os arquivos de backup intactos.

Shadow Copies — Recuperação Forense sem o Catálogo VSS

As Shadow Copies do Windows — também conhecidas como VSS snapshots ou Versões Anteriores — são cópias pontuais automáticas do sistema de arquivos que o Windows Server cria periodicamente. Em servidores de produção bem configurados, existem Shadow Copies de horas, dias e semanas anteriores que representam o estado do sistema naquele momento específico.

Os atacantes de ransomware sabem disso e executam a deleção das Shadow Copies como primeiro passo do ataque — antes ou simultaneamente à cifragem dos dados. O comando vssadmin delete shadows ou wmic shadowcopy delete aparece nos logs de praticamente todos os ataques de ransomware a servidores Windows.

A recuperação de dados de ransomware via Shadow Copies destruídas funciona porque o Windows implementa o VSS usando um mecanismo de Copy-on-Write que armazena os blocos originais em uma área reservada do disco — o Shadow Storage. Quando o VSS deleta um snapshot, ele marca o espaço como disponível no catálogo mas não apaga fisicamente os blocos de dados do Shadow Storage imediatamente. A engenharia forense acessa diretamente o Shadow Storage nas imagens brutas dos discos, localiza os blocos de dados dos snapshots deletados e os reconstrói em ambiente virtual de laboratório — sem depender do catálogo VSS ou das APIs do Windows para acessar os dados.

Em servidores onde o Shadow Storage ocupava volumes separados — uma boa prática de configuração que os atacantes frequentemente não conseguem mapear completamente dentro da janela do ataque — a recuperação de Shadow Copies completas de dias ou semanas antes do ataque pode permitir restauração quase total do ambiente com perda mínima de dados.

Veeam, Acronis e Soluções de Backup Enterprise

Soluções de backup enterprise como Veeam Backup & Replication, Acronis Cyber Backup e Commvault são alvos específicos dos grupos de ransomware modernos — que incluem rotinas de busca e destruição dessas soluções em seus scripts de ataque. O Veeam em particular é identificado e atacado ativamente pelo LockBit, ALPHV e outros grupos que desenvolveram módulos específicos para localizar e destruir repositórios Veeam antes da cifragem.

A recuperação de dados de ransomware de repositórios Veeam destruídos foca nos arquivos .VBK — backups completos — e .VIB — backups incrementais — que foram deletados ou parcialmente cifrados. Os arquivos .VBK do Veeam são estruturas complexas que contêm as imagens completas de VMs ou servidores físicos em formato proprietário. Quando deletados rapidamente pelo atacante, os blocos de dados desses arquivos frequentemente permanecem intactos nas mídias por tempo suficiente para recuperação forense.

Em servidores de backup Veeam onde o atacante executou formatação do volume ou reinstalação do sistema operacional para eliminar as evidências — além dos backups em si — a recuperação de dados de ransomware exige varredura profunda do espaço livre das imagens brutas em busca de assinaturas dos cabeçalhos de arquivos .VBK para reconstrução dos backups via file carving especializado.

Snapshots de NAS e Storages SAN

Dispositivos NAS Synology e QNAP com snapshots habilitados — e storages SAN com LUNs em modo snapshot — oferecem uma camada adicional de proteção que os atacantes frequentemente não conseguem destruir completamente dentro da janela do ataque. Snapshots de NAS são armazenados em área reservada do pool de armazenamento que não é diretamente acessível pelo sistema de arquivos convencional — tornando mais difícil para o ransomware localizar e destruir essas cópias.

A recuperação de dados de ransomware via snapshots de NAS preservados — total ou parcialmente — é uma das estratégias de maior taxa de sucesso. Em dispositivos Synology com Btrfs e snapshots habilitados onde o ataque não conseguiu acessar o DSM para deletar os snapshots antes do desligamento, a restauração pode ser total a partir do último snapshot disponível. Em casos onde os snapshots foram parcialmente deletados — o atacante deletou os mais recentes mas não alcançou os mais antigos — a restauração pode ser realizada a partir do snapshot mais recente sobrevivente, com perda apenas dos dados entre aquele snapshot e o momento do ataque.

A Importância do Desligamento Imediato para Preservar Backups Recuperáveis

Cada minuto que o sistema permanece ligado após a descoberta do ransomware aumenta a quantidade de blocos de dados sobrescritos — tanto dos dados primários cifrados quanto dos backups destruídos. O sistema operacional continua gravando logs, arquivos temporários e dados de paginação de memória nas mídias enquanto estiver ligado, sobrescrevendo progressivamente os blocos que a engenharia forense precisaria para a recuperação de ransomware.

Desligar o servidor, NAS ou storage imediatamente após a descoberta do ataque — antes mesmo de tentar avaliar o dano, antes de chamar o suporte do fabricante, antes de qualquer outra ação — é a decisão mais impactante que qualquer gestor de TI pode tomar para preservar as chances de recuperação de dados de ransomware tanto dos dados primários quanto dos backups destruídos.