Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Plataformas

Ransomware e Acronis: o que fazer com backups TIBX e cópias na nuvem

Quando o ransomware chega a um ambiente protegido pelo Acronis, o próprio backup costuma estar na mira: arquivos TIBX em discos e compartilhamentos, o servidor de gerenciamento e o acesso ao console na nuvem. Preserve os arquivos e as cópias na nuvem, sem apagar planos nem mudar a retenção. Depois do isolamento, a avaliação indica se algum backup ainda pode ser aproveitado, sem garantia.

Iniciar recuperaçãoPerguntas frequentes

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

Formato atual
TIBX (versão 12): cada cadeia de backup fica num único arquivo
Formato anterior
TIB, de versões antigas, com um arquivo por versão de backup
Deduplicação
no TIBX, ligada por padrão dentro do próprio arquivo
Active Protection
detecção por comportamento e autoproteção de .tibx, .tib e .tia em pastas locais
Nuvem
armazenamento imutável para backups TIBX, com modos de governança e de conformidade
Atendimento
Atendido, para arquivos e discos isolados

O que costuma ser atingido

No Acronis Cyber Protect, o formato TIBX guarda cada cadeia, um backup completo ou diferencial com seus incrementais, num único arquivo, com deduplicação interna ligada por padrão, segundo a documentação. Isso simplifica a gestão, mas concentra muito em poucos arquivos: se um TIBX é cifrado ou corrompido, a cadeia inteira dentro dele sofre.

Backups em pastas locais e em compartilhamentos de rede ficam ao alcance de quem domina o servidor ou a conta usada pelo agente. O ataque também pode mirar o servidor de gerenciamento, os agentes e as credenciais do console na nuvem, para desligar a proteção antes de cifrar a produção.

Active Protection e armazenamento imutável

O Active Protection usa heurística de comportamento para parar processos que agem como ransomware e pode desfazer alterações a partir de um cache. A autoproteção bloqueia mudanças não autorizadas em arquivos .tibx, .tib e .tia em pastas locais. Se o recurso estava desligado, com exclusões amplas, ou se o invasor obteve controle administrativo, essa barreira pode ter falhado.

Na nuvem, a Acronis oferece armazenamento imutável para backups TIBX: durante o período de retenção, backups apagados continuam disponíveis para recuperação. No modo de conformidade, nem a retenção pode ser mudada. Se o ambiente usava o recurso, backups apagados pelo invasor podem estar acessíveis; confirme com o administrador ou o provedor antes de qualquer outra ação.

Backup restaurado não é dado conferido

Restaurar um TIBX e ver a máquina ligar é só o começo. Confira se o ponto escolhido é anterior à entrada do invasor, se os arquivos recentes estão lá e se bancos e sistemas abrem sem erro. Restaurar um ponto já infectado traz o problema de volta.

Um TIBX cifrado em partes pode guardar blocos íntegros, mas a deduplicação e a compressão tornam essa leitura difícil, e o resultado varia muito. É algo a examinar sem alterar o original. Cabe à Data Rescue examinar arquivos TIBX e TIB, discos de destino e cópias isoladas, sem fazer contenção, perícia ou negociação.

Como o ataque aparece no Acronis

  • Planos de proteção desativados ou agentes desinstalados sem aviso.
  • Arquivos .tibx ou .tib com extensão nova, tamanho zero ou nome trocado.
  • O console mostra backups ausentes, falhas seguidas ou locais de backup indisponíveis.
  • Alertas do Active Protection pouco antes de os arquivos ficarem inacessíveis.
  • Credenciais do console na nuvem alteradas ou acessos de lugares desconhecidos.

O que não fazer

  • Não apague backups antigos para abrir espaço.
  • Não desligue a imutabilidade nem troque o modo de retenção.
  • Não restaure por cima das máquinas atingidas sem liberação da equipe de resposta.
  • Não ligue o disco de backup externo ao computador infectado para ver se está bom.
  • Não converta nem renomeie arquivos TIBX por tentativa.

O que fazer agora

01

Acione a equipe de segurança

Ela separa as máquinas protegidas, o servidor de gerenciamento e os destinos de backup. Não desinstale agentes nem apague planos.
02

Congele os destinos de backup

Não rode limpeza nem mude regras de retenção. Se for copiar arquivos TIBX, use um disco à parte e mantenha o original.
03

Confira a nuvem e a imutabilidade

Com o administrador, veja se o armazenamento imutável estava ativo e quais backups apagados ainda aparecem. A troca de credenciais do console segue a orientação da equipe de resposta.
04

Registre o ambiente

Versão do produto, implantação local ou na nuvem, destinos de backup, horários e alertas recebidos.
05

Inclua provedor e jurídico

Administrador do backup, provedor do serviço, se houver, equipe de resposta e jurídico. Se havia dados pessoais nos backups, a análise sobre avisar a ANPD e os titulares cabe ao controlador e ao jurídico.
Perguntas frequentes

Perguntas sobre
Acronis.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

O Active Protection não deveria ter barrado o ataque?
Ele reduz o risco, mas depende de estar ligado, sem exclusões amplas e sem um invasor com controle administrativo. Agora, o mais útil é descobrir quais backups escaparam e preservá-los.
Backups apagados na nuvem podem voltar?
Se o armazenamento imutável estava ativo, a Acronis informa que backups apagados ficam acessíveis durante o período de retenção. Sem esse recurso, depende das regras do provedor. Pergunte antes de fazer qualquer mudança.
Um TIBX corrompido pelo ataque ainda abre?
Às vezes, em parte. Se cabeçalho e índices foram cifrados, o programa não reconhece o arquivo, mas blocos internos podem sobrar. A análise mostra se há algo legível, sem garantia.
A Data Rescue trabalha com o provedor do meu backup?
A Data Rescue examina os arquivos e discos que você ou o provedor isolarem e informa por escrito o que é possível. Conte o caso pela página de contato.

Leia também

Fontes

Conteúdo editorial da Data Rescue, atualizado em 29/10/2026. Orientação geral: não substitui a avaliação do dispositivo, a resposta a incidentes nem orientação jurídica. Veja a política editorial.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

Iniciar recuperaçãoEntenda o processo