Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Arquivos

BAK criptografado por ransomware: quando o backup também foi atingido

Em servidores Windows, um .bak criptografado por ransomware costuma ser um backup do SQL Server que deixou de restaurar. A extensão também é usada por outros programas para cópias de segurança, e o formato interno muda conforme a origem. Se o arquivo é grande e a cifragem foi parcial, partes do conteúdo podem continuar legíveis. Guarde todos os .bak como estão, além da nota e dos registros do servidor. A Data Rescue examina cópias e procura o que ainda pode ser extraído.

Iniciar recuperaçãoPerguntas frequentes

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

Extensão
.bak; backups de log costumam usar .trn
Origem mais comum em servidores
backups do Microsoft SQL Server gravados em disco
Outros usos
cópias de segurança de vários programas, cada um com formato próprio
Tipos no SQL Server
completo, diferencial e de log
Pode ter
compressão e criptografia do próprio SQL Server
Atendimento
Atendido, com orçamento por escrito antes de qualquer trabalho

O que é um arquivo .bak

A extensão .bak não pertence a um único produto. No SQL Server, é a extensão usual dos backups gravados em disco: o backup completo traz os dados do banco e o log necessário para recuperá-los, e o diferencial traz só o que mudou desde o último completo. Outros programas também chamam de .bak as cópias automáticas de documentos e configurações; nesses casos, o conteúdo segue o formato do programa de origem.

Para quem ataca, o backup é o que permite à empresa se recuperar sem pagar. O guia #StopRansomware da CISA registra que muitas variantes procuram backups acessíveis para apagar ou cifrar, e por isso recomenda manter cópias offline e criptografadas.

O que pode ter sobrado num backup cifrado

Backups de banco estão entre os maiores arquivos de um servidor. Quando a família de ransomware cifra só partes de arquivos grandes, como a CISA descreve no alerta sobre o Play, um .bak pode manter longos trechos íntegros. Dentro deles, as páginas do banco copiadas pelo backup às vezes continuam reconhecíveis e podem ser extraídas.

Dois fatores mudam essa análise. Se o backup foi compactado pelo SQL Server, os trechos íntegros precisam ser descompactados antes, o que dá mais trabalho e pode limitar o resultado. Se foi criptografado pelo próprio SQL Server, a Microsoft avisa que, sem o certificado ou a chave usados, não é possível restaurar. Essa criptografia é diferente da do ataque, e o certificado precisa ser localizado.

Como a Data Rescue avalia um .bak

Informe de qual sistema vêm os .bak, os tamanhos e as datas, se eram compactados ou criptografados e se o banco original, o MDF, também foi atingido. Você só envia algo depois de combinar o envio por escrito. A Data Rescue não entra na contenção, na investigação nem em negociação; avalia cópias depois do isolamento.

Na análise, a cópia do backup é examinada para localizar os trechos íntegros e identificar as páginas do banco. Quando é viável, os registros são extraídos para um banco novo, que o seu responsável técnico confere. Arquivos .bak de outros programas são avaliados conforme o formato de origem. Não há promessa de resultado.

Sinais de que os backups foram atingidos

  • Os .bak da pasta de backup ganharam outra extensão, embora o tamanho continue parecido.
  • A restauração no SQL Server falha dizendo que o arquivo não é um backup válido.
  • As tarefas de backup pararam de rodar antes do ataque, ou os arquivos mais recentes sumiram.
  • Cópias em outro servidor ou num NAS da rede também mudaram de nome.
  • Um arquivo de instruções do grupo apareceu na pasta de backup ou no compartilhamento.

O que não fazer com os .bak

  • Não renomeie o arquivo para .bak e tente restaurar no servidor atacado.
  • Não restaure por cima do banco de produção antes da liberação do ambiente.
  • Não apague backups cifrados para liberar espaço: eles podem ter trechos aproveitáveis.
  • Não use conversores ou reparadores de backup sobre o arquivo original, nem instale ferramentas de descriptografia sem procedência: a consulta ao No More Ransom se faz com a equipe de resposta.

O que fazer agora com os backups

01

Tire os backups íntegros do alcance do ataque

Com a equipe de resposta, desconecte discos externos e compartilhamentos que ainda parecem bons. Não ligue nada à rede afetada para conferir.
02

Faça um inventário dos .bak

Liste cada arquivo, o banco de origem, o tipo (completo, diferencial ou log), a data e onde está. Inclua cópias em nuvem, fita e outros sites.
03

Copie sem renomear

Copie os .bak cifrados e os íntegros para um disco limpo, com os nomes atuais, e trabalhe só nas cópias.
04

Localize certificados e chaves do backup

Se o SQL Server criptografava os backups, encontre o certificado e a chave usados. Sem eles, nem um arquivo íntegro restaura.
05

Conte o caso

Informe de onde vêm os arquivos, quanto ocupam e quais bancos são mais críticos.
Perguntas frequentes

Perguntas sobre
BAK.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

Todo arquivo .bak é do SQL Server?
Não. Muitos programas usam .bak para cópias próprias, e o formato interno muda de um para outro. Para saber a origem, observe a pasta onde ele estava, o tamanho e o sistema que gerava o arquivo, e informe isso ao contar o caso.
O backup estava compactado. Isso atrapalha?
Pode atrapalhar. A compressão do SQL Server reduz o tamanho, mas os trechos íntegros precisam ser descompactados antes da extração. A análise mostra se a parte legível basta para extrair dados úteis.
Sem o certificado, dá para abrir um backup criptografado pelo SQL Server?
Segundo a Microsoft, não: sem o certificado ou a chave assimétrica usados na criptografia, o backup não pode ser restaurado. Por isso o certificado deve ficar guardado em outro lugar, longe do servidor.
Pagar o resgate devolve os backups?
Não é uma saída confiável. A CISA e o FBI desaconselham o pagamento porque ele não assegura a devolução dos arquivos. Backups íntegros fora do ambiente atacado e a avaliação dos arquivos cifrados são caminhos a considerar antes, com jurídico e resposta a incidentes.

Leia também

Fontes

Conteúdo editorial da Data Rescue, atualizado em 29/10/2026. Orientação geral: não substitui a avaliação do dispositivo, a resposta a incidentes nem orientação jurídica. Veja a política editorial.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

Iniciar recuperaçãoEntenda o processo