Recuperación de máquinas virtuales y respaldos tras un ransomware
Los atacantes van primero a por el hipervisor y los respaldos, porque eso es lo que hace que una empresa pague. Los discos cifrados de VMware, Hyper-V y Proxmox y los repositorios de respaldo borrados se pueden reconstruir con mucha frecuencia.
Por qué las máquinas virtuales son un objetivo
Un solo host cifrado deja fuera de servicio a la vez todos los servidores que aloja: el servidor de archivos, el sistema de contabilidad, el controlador de dominio, el correo. Por eso los grupos de ransomware actuales distribuyen versiones diseñadas para ESXi y Hyper-V, y muchos cifran solo secciones de cada disco virtual para terminar en minutos.
Ese atajo es justamente lo que hace posible la recuperación. Un disco virtual de varios cientos de gigabytes cifrado parcialmente conserva la mayor parte de su sistema de archivos, y a partir de él podemos reconstruir los volúmenes del sistema invitado, sus archivos y, a menudo, la máquina completa.
Con qué trabajamos
- VMware ESXi y vSphere: discos virtuales VMDK, archivos flat y de snapshot, datastores VMFS
- Microsoft Hyper-V: discos VHD y VHDX, puntos de control, Cluster Shared Volumes
- Proxmox y KVM: discos qcow2 y raw, almacenamiento LVM y ZFS
- Veeam: archivos y repositorios de respaldo VBK y VIB cifrados, borrados o dañados
- Otros respaldos: Windows Server Backup, carpetas compartidas de respaldo en NAS, discos USB de respaldo y archivos de imagen
- El almacenamiento subyacente: arreglos RAID, volúmenes SAN y equipos NAS usados como datastores
Cómo lo abordamos
Detener el daño
Los hosts y el almacenamiento siguen encendidos pero aislados de la red, y nada escribe en los datastores ni en el repositorio de respaldo.
Copiar todo
Cada disco del host o del arreglo se copia antes de cualquier análisis. Si hace falta, el arreglo se reconstruye a partir de las copias, no de los originales.
Mapear el cifrado
Medimos qué partes de cada disco virtual y de cada archivo de respaldo se cifraron y cuáles no.
Reconstruir
Los sistemas de archivos de los invitados, las bases de datos y las cadenas de respaldo se reconstruyen a partir de los datos legibles, empezando por las máquinas más importantes.
Entregar
Usted revisa la lista de máquinas y archivos recuperados y después recibe los datos en almacenamiento nuevo, listos para restaurarlos en un host limpio.
Qué hacer antes de llamar
- No reinicie los hosts, no elimine snapshots ni ejecute una restauración sobre las máquinas cifradas.
- No reinicialice el repositorio de respaldo ni ejecute una "reparación" sobre él.
- Desactive las tareas programadas de respaldo y replicación para que no sobrescriban las últimas copias buenas.
- Anote la versión del hipervisor, el modelo de almacenamiento y el software de respaldo, si los conoce.
En colaboración con Recoveo
Recibimos casos de todo Estados Unidos, Canadá, Centroamérica y Sudamérica: empezamos de forma remota, y los discos o los hosts completos se envían al laboratorio. Este trabajo se realiza con Recoveo, el laboratorio especializado con el que operamos nuestro laboratorio de ransomware en Los Angeles. Sus ingenieros han recuperado respaldos de Veeam y datos de SAN para empresas atacadas por grupos como Akira.
Preguntas
Se cifró todo el datastore. ¿Queda algo?
Normalmente, sí. Los datastores son grandes y el ransomware rara vez tiene tiempo de cifrar por completo cada disco. El diagnóstico muestra cuánto se puede reconstruir antes de que usted se comprometa.
¿Pueden recuperar primero un solo servidor?
Sí. Indíquenos qué máquinas necesita primero la empresa, como el controlador de dominio o el servidor de contabilidad, y trabajaremos en ese orden.
Se borraron nuestros respaldos de Veeam. ¿Se pueden recuperar?
A menudo, sí. Los archivos de respaldo borrados dejan sus datos en los discos del repositorio hasta que se sobrescriben, así que detenga de inmediato todas las tareas de respaldo y cualquier escritura en ese almacenamiento.
¿Reconstruyen nuestros servidores después?
Nuestro equipo de TI puede reconstruir los hosts, restaurar las máquinas recuperadas e implementar respaldos fuera del alcance de los atacantes.
Abra un caso de ransomware
Llame al (213) 986-4855 o abra un caso en línea e indíquenos el hipervisor, el almacenamiento y el software de respaldo implicados.