Атака вируса-вымогателя (шифровальщика) на корпоративный сервер — один из самых тяжелых сценариев для системного администратора и бизнеса в целом. Ситуация усложняется, когда выясняется, что актуальных резервных копий нет или они находились в той же сетевой папке и также оказались зашифрованы. Однако паниковать не стоит: специфика работы СУБД и самих вредоносных программ часто оставляет техническую возможность восстановить данные без выплаты выкупа злоумышленникам.
В этой статье мы подробно разберем, как устроены современные шифровальщики, почему популярные мифы о защите файлов 1С не работают на практике, и пошагово рассмотрим действенные технические методы восстановления как файловых, так и клиент-серверных баз данных.
Среди начинающих администраторов и пользователей распространен миф: если база данных 1С открыта на сервере или у пользователей в режиме 24/7, вирус-шифровальщик не сможет ее повредить, так как операционная система блокирует файл базы для записи другими процессами. К сожалению, это опасное заблуждение.
Это утверждение было частично справедливо лишь для старых или крайне простых вирусов. Современное вредоносное ПО (семейства LokiLocker, BlackBit, Phobos, Dharma и др.) действует целенаправленно и профессионально. Перед тем как начать процесс шифрования дисков, вирус запускает специальный скрипт, который выполняет следующие действия:
ragent.exe, rphost.exe, rmngr.exe).Как только процессы остановлены, файлы баз данных (такие как 1Cv8.1CD, файлы .mdf и .ldf) разблокируются ОС, после чего шифровальщик беспрепятственно перезаписывает их содержимое.
Для разработчиков вирусов-вымогателей критически важна скорость проведения атаки. Если процесс будет длиться слишком долго, администратор или система мониторинга успеют заметить подозрительную активность, нагрузку на процессор и дисковую подсистему, после чего сервер будет обесточен, а атака сорвана. Чтобы зашифровать терабайты данных как можно быстрее, злоумышленники используют алгоритм «частичного» или «интервального» (шахматного) шифрования для файлов большого объема (обычно более 100–200 МБ).
Вместо обработки всего файла целиком вирус шифрует только:
Для базы данных 1С это дает колоссальный шанс на спасение. Дело в том, что в файле 1Cv8.1CD реальное содержимое таблиц (документы, справочники, проводки, константы) расположено дальше по структуре файла, за пределами первых зашифрованных мегабайт. Пострадавшая часть содержит в основном заголовки таблиц, схемы данных, описание конфигурации и список пользователей. Это значит, что более 95–99% полезной информации физически остаются нетронутыми, и их можно извлечь.
Если вы столкнулись с ситуацией, когда зашифровано только начало файловой базы 1С, вернуть данные к жизни можно путем ручной склейки поврежденного файла с заголовками от рабочей копии. Рассмотрим этот процесс по шагам.
Шаг 1: Подготовка инструментов и рабочей среды
Для проведения работ нам понадобятся:
WinHex, HxD или любой аналогичный).chdbfl.exe (входит в стандартную поставку платформы 1С и находится в каталоге установки платформы bin).Tool_1CD (разработка сторонних авторов для низкоуровневого анализа файлов баз данных).Шаг 2: Анализ повреждений
Откроем зашифрованный файл 1Cv8.1CD в HEX-редакторе. Корректный файл базы данных 1С всегда должен начинаться со строгой сигнатуры (заголовка) 1CDBMSV8 в самом нулевом блоке. Если вместо этого в начале файла мы видим хаотичный набор символов («кашу»), значит, заголовок зашифрован. Именно из-за отсутствия этой сигнатуры утилиты восстановления и сама платформа выдают ошибку: «Файл не является базой данных».
Шаг 3: Склейка заголовков
Выполним перенос корректных заголовков из рабочей базы:
Шаг 4: Логическое восстановление структуры
После того как заголовок файла восстановлен, утилиты смогут распознать его как базу данных 1С. Запустим утилиту chdbfl.exe, укажем путь к нашему модифицированному файлу и установим флаг «Исправлять обнаруженные ошибки». Утилита просканирует файл, обнаружит несоответствие индексов и служебных таблиц и попытается восстановить их структуру.
Даже если таблица конфигурации (CONFIG) или список пользователей будут полностью потеряны из-за шифрования, физические таблицы с бизнес-данными уцелеют. После работы утилиты данные можно будет программно выгрузить с помощью специализированных обработок или утилиты Tool_1CD и перенести в новую чистую информационную базу.
Если ваша информационная база работала в клиент-серверном режиме под управлением MS SQL Server, шансы на восстановление данных при частичном шифровании файла базы данных .mdf также весьма велики.
Система MS SQL Server организует хранение информации страницами по 8 КБ каждая. Даже если вирус повредил начало файла .mdf (где находятся системный каталог и таблицы метаданных), страницы с фактическим содержимым таблиц документов и справочников в глубине файла остаются нетронутыми. Чтобы восстановить их, выполним следующие действия:
Attach) зашифрованный файл базы данных к живому SQL-серверу штатным путем — это приведет к ошибкам и может ухудшить ситуацию.Stellar Repair for MS SQL или аналогичные инструменты восстановления)..mdf. Программа просканирует всю физическую структуру файла постранично, найдет уцелевшие страницы данных, реконструирует схемы таблиц и позволит экспортировать уцелевшую информацию напрямую в новую, чистую базу данных на работающем SQL-сервере.Это один из самых эффективных методов, который часто упускают из виду. Архитектура работы многих вирусов-шифровальщиков построена по следующему принципу ради обеспечения собственной стабильности:
Такой подход защищает вирус от зависания в случае внезапного сбоя питания: система останется работоспособной, а файлы просто будут удалены. Для нас это означает, что оригинальный, абсолютно целый файл базы данных (или ее бэкап в формате .zip, .dt, .rar) все еще физически находится на жестком диске в нераспределенной области (Unallocated Space), просто операционная система пометила эти сектора как свободные для записи.
Важнейшее правило: Как только вы обнаружили активность шифровальщика, немедленно зажмите кнопку питания сервера или выдерните шнур из розетки! Не выполняйте штатное завершение работы Windows, так как при перезавершении операционная система записывает множество логов и временных файлов на диск, что может безвозвратно перезаписать те самые сектора с удаленной базой данных.
Для восстановления выполните следующие шаги:
R-Studio, DMDE или GetDataBack).PK, для файлов баз 1С — сигнатура 1CDBMSV8).Прежде чем принимать решение о выплате выкупа, обязательно проверьте, не существует ли уже бесплатного решения для расшифровки вашего типа вируса.
Существует авторитетный международный некоммерческий проект No More Ransom, созданный при поддержке Европола, Лаборатории Касперского и других ведущих ИБ-компаний мира. База проекта постоянно пополняется ключами дешифрации, которые специалисты по безопасности извлекают из изъятых серверов управления хакеров.
Алгоритм действий:
ReadMe.txt, HOW_TO_DECRYPT.txt).ID Ransomware.Иногда руководство компании склоняется к быстрой оплате выкупа, полагая, что это самый надежный способ вернуть бизнес-процессы в рабочее русло. Однако статистика ИБ-компаний показывает обратное:
Чтобы навсегда обезопасить базу данных от подобных угроз, необходимо перестроить архитектуру резервного копирования и защиты сети:
Btrfs или ZFS). Настройте регулярное создание моментальных снимков (снапшотов) системы. Поскольку снапшоты защищены на уровне ядра файловой системы от изменения пользователями, шифровальщик сможет испортить только текущую рабочую копию, а откат к предыдущему снапшоту займет не более пары минут.