Por que o ataque mira o backup
Quem executa um ransomware quer que a vítima fique sem alternativa. Por isso procura as cópias. A CISA registra que muitas variantes tentam localizar e apagar ou criptografar os backups acessíveis, e o NCSC britânico cita ataques que atingiram armazenamentos em nuvem conectados, com backups dentro. Backup montado como unidade de rede, NAS no mesmo domínio e console com a senha do administrador são alvos fáceis.
Pagar não resolve com segurança. O FBI e a CISA dizem em alertas conjuntos que não incentivam o pagamento, que não assegura a devolução dos dados e pode financiar novos ataques. A decisão envolve a direção, o jurídico e a equipe de resposta, e deve vir depois de saber o que ainda existe.
Inventário: o que ainda pode existir
Antes de concluir que não há cópia, a equipe precisa listar tudo: discos externos guardados desconectados, fitas, cópias em outro prédio, repositórios com imutabilidade, nuvem com versões ou bloqueio de exclusão, réplicas de VMs, snapshots do storage e exportações antigas. Uma cópia de semanas atrás, íntegra, pode valer mais que uma recente atingida.
Cada cópia encontrada deve ser conferida num ambiente separado e limpo, nunca reconectada à rede atacada. A CISA alerta que é preciso identificar programas maliciosos deixados pelo atacante antes de reconstruir sistemas a partir de backups, para o ataque não recomeçar.
Arquivos de backup criptografados: o que se avalia
Muitas famílias de ransomware criptografam só partes de arquivos grandes, para ganhar velocidade. Em arquivos de backup como VBK, VIB e TIBX, e em discos virtuais, isso pode deixar trechos legíveis entre as partes atingidas, às vezes com arquivos inteiros. É uma possibilidade a avaliar, não uma promessa.
A Data Rescue não faz contenção, resposta a incidente, perícia forense nem negociação. Depois que a equipe responsável isolou o ambiente, avalia cópias dos arquivos de backup e dos discos, e o laudo diz por escrito o que é possível. Para descriptografadores públicos, a referência é o projeto No More Ransom, consultado com a equipe de resposta.