Локалізація Ransomware
Сервер SQL та сервери додатків були ізольовані від мережі. Інженери нейтралізували активні шкідливі скрипти, зупинивши шифрування суміжних інфраструктурних вузлів.
Кейс: Успішне відновлення зашифрованих баз даних SQL без виплати викупу (Київ)
До компанії Ukrfast звернувся столичний дистриб'ютор медичного обладнання. Внаслідок атаки шкідливого ПЗ (вірусу-вимагача Ransomware) було повністю зашифровано центральний сервер баз даних, який забезпечував роботу систем 1С:Підприємство та BAS (Business Automation Software), а також складського обліку та клієнтських сервісів.
Критична ситуація на момент входу команди Ukrfast
-
Повний параліч обліку: Головні бази даних MS SQL (файли .mdf, .ldf) та файлові бази (.1cd) отримали стороннє розширення. Робота бухгалтерії, складів та логістики повністю зупинилася — неможливо виписати накладну чи прийняти замовлення.
-
Вимога викупу: Хакерська група залишила текстові файли з вимогою виплати великої суми у криптовалюті в обмін на дешифратор, погрожуючи видаленням ключів.
-
Знищені бекапи: Зловмисники діяли приховано і перед активацією шифрувальника цілеспрямовано видалили мережеві тіньові копії (VSS) та локальні резервні копії (файли .bak та .dt), які зберігалися в межах видимості сервера.
Наш підхід
Реалізоване технічне рішення
Покроковий комплекс робіт інженерів Ukrfast для реконструкції зашифрованої СУБД та відновлення обліку
Локалізація Ransomware
Бінарний аналіз
Проведено низькорівневий аналіз структури файлів .mdf та .1cd. Виявлено, що шифрувальник пошкодив лише заголовки, залишивши внутрішні сторінки з даними недоторканими.
Реконструкція таблиць
Замість дешифрування ми створили чисту пусту базу (конфігурацію) і за допомогою спеціалізованого софту посторінково витягли сирі дані (raw data) зі скомпрометованих файлів.
Валідація та ремонт
Імпортували дані в нову інстанцію MS SQL Server. За допомогою утиліти chdbfl.exe та логічних інструментів Конфігуратора BAS виправили пошкоджені посилання та перерахували підсумки.
Модернізація бекапів
Розгорнули ізольоване сховище Immutable Backups на базі NAS із контролем версій. Його архітектура фізично унеможливлює видалення чи шифрування копій навіть з облікового запису адміністратора.
Завдяки відмові від дешифратора зловмисників і збиранню баз на рівні байтів, облік клієнта повернувся до штатного режиму всього за 36 годин без виплати жодного центу викупу.
Опинилися у схожій ситуації?
Не втрачайте дорогоцінний час — кожна година простою коштує бізнесу грошей. Довірте відновлення та захист ваших серверів професіоналам Ukrfast.
Отримати допомогу
Швидка реакція
100% Конфіденційність
Досвід у кризових ситуаціях
У ВАС Є ЗАПИТ? МИ ДОПОМОЖЕМО ЙОГО РЕАЛІЗУВАТИ
Розкажіть більше про себе та завдання, яке потрібно вирішити