← На главную

Ситуация, когда сервер 1С подвергается атаке вируса-шифровальщика (ransomware), является критической для любого бизнеса. Зашифрованные файлы баз данных .mdf, .ldf и даже резервные копии .bak могут поставить под угрозу существование компании. В этой статье мы подробно разберем, какие шаги можно предпринять для спасения данных, проанализируем технические аспекты работы шифровальщиков и рассмотрим инструменты, которые могут помочь в восстановлении.

Анализ глубины повреждений: как именно шифруются базы данных

Прежде чем приступать к восстановлению, нам необходимо понять, как действует вирус. Большинство современных шифровальщиков (семейства Phobos, Dharma или Sodinokibi) используют алгоритмы AES-256 в связке с RSA. Однако, учитывая огромный размер файлов MDF, вирусы редко зашифровывают их целиком, так как это занимает слишком много времени и создает высокую нагрузку на дисковую подсистему, что выдает присутствие вируса.

Проанализируем типичный сценарий «выборочного шифрования»:

1. Заголовок файла (Page 0): Шифруются первые несколько мегабайт. Именно здесь хранится информация о структуре таблиц, карты распределения страниц и системные метаданные. Без них SQL Server не может «примонтировать» базу.
2. Тело файла: Основной массив данных (таблицы с проводками, справочники 1С) часто остается нетронутым.
3. Хвост файла: Шифруется конец файла для предотвращения легкого исправления структуры.

Если зашифровано только начало файла, у нас есть шансы на частичное или полное восстановление данных путем реконструкции заголовков.

Использование специализированных утилит для восстановления SQL

Существуют инструменты, которые умеют «вычитывать» страницы данных из поврежденного MDF файла, даже если его заголовок испорчен. Рассмотрим наиболее эффективные программные продукты:

1. DataNumen SQL Recovery
Эта утилита зарекомендовала себя как одна из самых мощных в случаях повреждения заголовков. Она сканирует файл целиком и пытается восстановить таблицы, индексы и хранимые процедуры. Рассмотрим алгоритм действий:

• Создадим копию зашифрованного файла .mdf (никогда не работайте с оригиналом!).
• Запустим программу и укажем путь к копии файла.
• Если файл .ldf (лог транзакций) также доступен, укажем его, но программа может работать и без него.
• Выберем формат выходного файла (скрипт SQL или новая база).

2. Stellar Repair for MS SQL
Программа специализируется на восстановлении структуры MDF. Она полезна тем, что позволяет предварительно просмотреть данные (например, справочники 1С) перед сохранением.

3. SQL Server Repair Toolbox
Инструмент, ориентированный на восстановление баз, которые SQL Server помечает как SUSPECT или RECOVERY_PENDING из-за порчи метаданных вирусом.

Поиск скрытых и теневых копий данных

Часто администраторы забывают про системные механизмы, которые могут сохранить данные вопреки действиям вируса. Разберем, где их искать:

Теневые копии (Volume Shadow Copies):
Вирусы первым делом пытаются удалить теневые копии командой: vssadmin.exe delete shadows /all /quiet Однако эта операция может завершиться с ошибкой, или вирус может не иметь достаточных прав для ее выполнения на всех дисках. Попробуем использовать бесплатную утилиту ShadowExplorer. Она позволяет просмотреть содержимое снимков тома, созданных Windows до атаки. Если мы найдем снимок, сделанный за день до шифрования, мы сможем экспортировать целые файлы .mdf и .bak.

Восстановление удаленных бэкапов:
Если вирус удалил старые бэкапы перед шифрованием новых, обычные программы типа Hetman Partition Recovery или R-Studio могут не помочь, так как файлы бэкапов 1С очень тяжелые и быстро перезаписываются. Тем не менее, проанализируем возможность поиска «фрагментов». Если бэкапы хранились на диске с файловой системой NTFS, стоит искать записи в MFT (Master File Table) для файлов с расширением .zip или .dt.

Методы восстановления «по кусочкам» из экосистемы 1С

Если базу SQL восстановить не удается, выясним, остались ли данные в других местах. 1С — это распределенная система, и данные могут дублироваться:

1. Локальные кэши пользователей: На рабочих станциях бухгалтеров в папках %AppData%\1C\1Cv8\ могут сохраняться временные файлы и фрагменты данных. В редких случаях там можно обнаружить временные файлы выгрузки .dt.
2. Файлы обмена: Если в компании настроена синхронизация (например, «Управление торговлей» -> «Бухгалтерия»), проверьте папки обмена. В них могут лежать XML или JSON файлы с документами за последний месяц.
3. Журнал регистрации: Файл 1Cv8.lgf иногда игнорируется шифровальщиками из-за расширения. Из него можно извлечь историю всех действий пользователей и, в крайнем случае, использовать его как план для ручного восстановления учета.
4. Копии у разработчиков: Выясним, не делали ли программисты 1С локальные копии базы для доработки отчетов или расширений. Копия месячной давности — это лучше, чем ничего.

Техническая реконструкция: метод «склеивания»

Рассмотрим сложный, но эффективный метод для опытных администраторов. Если у вас есть старый (целый) бэкап и новый (зашифрованный) MDF, можно попытаться восстановить структуру:

• Развернем пустую базу 1С той же версии конфигурации.
• Используя Hex-редактор, проанализируем структуру страниц в зашифрованном файле.
• Если зашифрован только заголовок, специалисты по SQL могут перенести «живые» страницы данных из зашифрованного файла в пустой каркас базы. Это требует глубокого знания структуры страниц MSSQL (IAM, GAM, PFS страницы).

Взаимодействие с антивирусными лабораториями

Не стоит пытаться решить проблему только своими силами. Разберем официальные пути:

Dr.Web и Лаборатория Касперского: Если у вас есть действующая лицензия, создайте тикет. У антивирусных компаний накоплены огромные базы ключей. Даже если для вашего вируса решения еще нет, оно может появиться через неделю. Обязательно сохраните зашифрованные файлы и «записку» вымогателей.

Проект No More Ransom: Это глобальная инициатива Европола. Загрузите туда зашифрованный файл — сервис автоматически определит тип вируса и проверит, есть ли в открытом доступе дешифратор.

Предотвращение повторных атак: выводы

Чтобы не оказаться в такой ситуации снова, проанализируем необходимые меры защиты:

• Правило 3-2-1: 3 копии данных, на 2 разных носителях, 1 копия — вне офиса (в облаке или на отчуждаемом диске).
• Изоляция бэкапов: Скрипт бэкапа должен «складывать» файлы на сетевое хранилище, к которому у сервера 1С нет прав на удаление и изменение (только запись).
• RDP-доступ: Никогда не оставляйте стандартный порт 3389 открытым в интернет. Используйте VPN для удаленной работы.

Восстановление после шифровальщика — это долгий процесс, требующий терпения. Помните, что оплата выкупа не гарантирует получение ключа, а инвестиции в качественное резервное копирование всегда дешевле услуг «восстановителей».