Локализация Ransomware
Сервер SQL и серверы приложений были изолированы от сети. Инженеры нейтрализовали активные вредоносные скрипты, остановив шифрование смежных инфраструктурных узлов.
Кейс: Успешное восстановление зашифрованных баз данных SQL без выплаты выкупа (Киев)
В компанию Ukrfast обратился столичный дистрибьютор медицинского оборудования. В результате атаки вредоносного ПО (вируса-требителя Ransomware) был полностью зашифрован центральный сервер баз данных, обеспечивавший работу систем 1С:Предприятие и BAS (Business Automation Software), а также складского учета и клиентских сервисов.
Критическая ситуация на момент входа команды Ukrfast
-
Полный паралич учета: Главные базы данных MS SQL (файлы .mdf, .ldf) и файловые базы (.1cd) получили стороннее расширение. Работа бухгалтерии, складов и логистики полностью остановилась – невозможно выписать накладную или принять заказ.
-
Требование выкупа: Хакерская группа оставила текстовые файлы с требованием выплаты крупных сумм в криптовалюте в обмен на дешифратор, угрожая удалением ключей.
-
Уничтоженные бекапы: Злоумышленники действовали скрыто и перед активацией шифровальщика целенаправленно удалили сетевые теневые копии (VSS) и локальные резервные копии (файлы .bak и .dt), хранящиеся в пределах видимости сервера.
Наш подход
Реализованное техническое решение
Пошаговый комплекс работ инженеров Ukrfast для реконструкции зашифрованной СУБД и восстановления учета
Локализация Ransomware
Бинарный анализ
Проведен низкоуровневый анализ структуры файлов .mdf и .1cd. Обнаружено, что шифровальщик повредил только заголовки, оставив внутренние страницы с данными неприкосновенными.
Реконструкция таблиц
Вместо дешифрования мы создали чистую пустую базу (конфигурацию) и с помощью специализированного софта постранично извлекли сырые данные (raw data) из скомпрометированных файлов.
Валидация и ремонт
Импортировали данные в новую инстанцию MS SQL Server. С помощью утилиты chdbfl.exe и логических инструментов Конфигуратора BAS исправили поврежденные ссылки и перечислили итоги.
Модернизация бекапов
Развернули изолированное хранилище Immutable Backups на базе NAS с контролем версий. Его архитектура физически исключает возможность удаления или шифрования копий даже с учетной записи администратора.
Благодаря отказу от дешифратора злоумышленников и сбору баз на уровне байтов, учет клиента вернулся в штатный режим всего за 36 часов без выплаты ни одного цента выкупа.
Оказались в похожей ситуации?
Не теряйте драгоценное время – каждый час простоя стоит бизнесу денег. Доверьте обновление и защиту ваших серверов профессионалам Ukrfast.
Получить помощь
Быстрая реакция
100% Конфиденциальность
Опыт в кризисных ситуациях
У ВАС ЕСТЬ ЗАПРОС? МЫ ПОМОЖЕМ ЕГО РЕАЛИЗИРОВАТЬ
Расскажите больше о себе и задаче, которую нужно решить