Récupération de machines virtuelles et de sauvegardes après ransomware
Les attaquants visent d’abord l’hyperviseur et les sauvegardes, car c’est ce qui pousse une entreprise à payer. Les disques VMware, Hyper-V et Proxmox chiffrés et les dépôts de sauvegarde effacés peuvent très souvent être reconstruits.
Pourquoi les machines virtuelles sont une cible
Un seul hôte chiffré met d’un coup tous ses serveurs hors service : serveur de fichiers, comptabilité, contrôleur de domaine, messagerie. Les groupes de ransomware actuels diffusent des versions écrites pour ESXi et Hyper-V précisément pour cette raison, et beaucoup ne chiffrent que des portions de chaque disque virtuel afin de terminer en quelques minutes.
C’est ce raccourci qui rend la récupération possible. Un disque virtuel de plusieurs centaines de gigaoctets partiellement chiffré conserve l’essentiel de son système de fichiers, à partir duquel nous pouvons reconstruire les volumes de la machine invitée, ses fichiers et souvent la machine entière.
Ce sur quoi nous intervenons
- VMware ESXi et vSphere : disques virtuels VMDK, fichiers flat et snapshots, datastores VMFS
- Microsoft Hyper-V : disques VHD et VHDX, points de contrôle, Cluster Shared Volumes
- Proxmox et KVM : disques qcow2 et raw, stockage LVM et ZFS
- Veeam : fichiers et dépôts de sauvegarde VBK et VIB chiffrés, supprimés ou endommagés
- Autres sauvegardes : Windows Server Backup, partages de sauvegarde sur NAS, disques de sauvegarde USB et fichiers image
- Le stockage sous-jacent : grappes RAID, volumes SAN et NAS utilisés comme datastores
Notre méthode
Stopper les dégâts
Les hôtes et le stockage restent sous tension mais coupés du réseau, et rien n’écrit plus sur les datastores ni sur le dépôt de sauvegarde.
Tout copier
Chaque disque de l’hôte ou de la grappe est copié avant toute analyse. Si nécessaire, la grappe est reconstituée à partir des copies, pas des originaux.
Cartographier le chiffrement
Nous mesurons quelles parties de chaque disque virtuel et de chaque fichier de sauvegarde ont été chiffrées, et lesquelles ne l’ont pas été.
Reconstruire
Les systèmes de fichiers invités, les bases de données et les chaînes de sauvegarde sont reconstruits à partir des données lisibles, en commençant par les machines les plus importantes.
Restituer
Vous vérifiez la liste des machines et fichiers récupérés, puis recevez les données sur un support neuf, prêtes à être restaurées sur un hôte sain.
Que faire avant de nous appeler
- Ne redémarrez pas les hôtes, ne supprimez pas de snapshots et ne lancez pas de restauration par-dessus les machines chiffrées.
- Ne réinitialisez pas le dépôt de sauvegarde et n’y lancez pas de « réparation ».
- Désactivez les tâches planifiées de sauvegarde et de réplication pour qu’elles n’écrasent pas les dernières copies saines.
- Notez la version de l’hyperviseur, le modèle de stockage et le logiciel de sauvegarde, si vous les connaissez.
En partenariat avec Recoveo
Les dossiers nous arrivent des États-Unis, du Canada et d’Amérique centrale et du Sud : nous commençons à distance, puis les disques ou les hôtes complets sont expédiés au laboratoire. Ce travail est réalisé avec Recoveo, le laboratoire spécialisé avec lequel nous exploitons notre laboratoire ransomware de Los Angeles. Ses ingénieurs ont récupéré des sauvegardes Veeam et des données SAN pour des entreprises attaquées par des groupes comme Akira.
Questions
Tout le datastore a été chiffré. Reste-t-il quelque chose ?
En général, oui. Les datastores sont volumineux, et un ransomware a rarement le temps de chiffrer intégralement chaque disque. Le diagnostic montre ce qui peut être reconstruit avant tout engagement.
Pouvez-vous récupérer un serveur en priorité ?
Oui. Indiquez-nous les machines dont l’entreprise a besoin en premier, comme le contrôleur de domaine ou le serveur de comptabilité, et nous travaillons dans cet ordre.
Nos sauvegardes Veeam ont été supprimées. Peuvent-elles être récupérées ?
Souvent. Les fichiers de sauvegarde supprimés laissent leurs données sur les disques du dépôt tant qu’elles ne sont pas écrasées : arrêtez immédiatement toutes les tâches de sauvegarde et toute écriture sur ce stockage.
Reconstruirez-vous nos serveurs ensuite ?
Notre équipe informatique peut reconstruire les hôtes, restaurer les machines récupérées et mettre en place des sauvegardes hors de portée des attaquants.
Ouvrir un dossier ransomware
Appelez le (213) 986-4855 ou ouvrez un dossier en ligne en précisant l’hyperviseur, le stockage et le logiciel de sauvegarde concernés.