Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Arquivos

LDF criptografado por ransomware: o log de transações do SQL Server

Um .ldf criptografado não impede, sozinho, a recuperação dos dados do banco, mas muda o que é possível. O LDF é o log de transações do SQL Server: registra cada alteração e serve para deixar o banco consistente depois de uma falha. Os dados ficam no MDF e nos NDF. Preserve o LDF original junto com eles, sem renomear e sem recriar o log. A avaliação analisa cópias de todos os arquivos do banco.

Iniciar recuperaçãoPerguntas frequentes

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

Extensão
.ldf
Origem
Microsoft SQL Server
Função
log de transações, com as alterações feitas por cada transação
Formato
registros de tamanho variável, sem as páginas de 8 KB do arquivo de dados
Usado em
recuperação ao iniciar, restauração até o ponto da falha e alta disponibilidade
Atendimento
Atendido, com orçamento por escrito antes de qualquer trabalho

O papel do LDF no banco

Segundo a Microsoft, todo banco do SQL Server tem um log de transações que registra as transações e as alterações feitas por cada uma. Ele fica num arquivo separado, de extensão .ldf. Quando o servidor cai, é o log que permite refazer o que não chegou aos arquivos de dados e desfazer o que ficou pela metade. A documentação traz um aviso direto: não apague nem mova o log sem entender as consequências.

Ao contrário do MDF, o LDF não é dividido em páginas de 8 KB: contém uma série de registros de tamanho variável. Isso o torna pouco útil para extrair tabelas, mas importante para saber o que mudou no banco pouco antes do ataque.

Quando só o log foi cifrado

Se o MDF e os NDF ficaram íntegros e só o log foi cifrado, o banco não sobe como estava, mas os dados continuam lá. O risco está nas transações que ainda dependiam do log: a Microsoft explica que, depois de uma falha, os arquivos de dados podem conter alterações de transações incompletas, que só o log desfaria. Criar um log novo às pressas resolve a abertura e esconde esse problema.

Quando o log é grande e só parte dele foi cifrada, trechos podem estar legíveis. A cifragem intermitente, em trechos alternados, aparece no alerta sobre o Play publicado pela CISA e pelo FBI. Esses trechos podem ajudar a entender as últimas alterações, mas não substituem os dados: sem MDF íntegro ou backup, o log sozinho raramente devolve um banco.

Como a Data Rescue avalia um LDF

Conte quais bancos foram atingidos, se MDF e NDF também foram cifrados, o modelo de recuperação do banco se souber e quais backups de dados e de log existem. Nada é enviado antes de o envio ser combinado por escrito. Contenção e investigação ficam fora do serviço: a Data Rescue entra depois do isolamento, sempre em cópias.

Os arquivos do banco são analisados em conjunto. Se os dados estão íntegros, o foco é abrir o banco de forma controlada e apontar o que pode ter ficado inconsistente. Se o MDF também foi atingido, o log entra como complemento da extração das páginas legíveis. Tudo é entregue para o responsável técnico conferir.

Sinais de que o log foi atingido

  • O banco fica em recuperação pendente ou suspeito, e o log de erros do SQL Server cita o arquivo de log.
  • O .ldf mudou de extensão enquanto o .mdf parece intacto, ou os dois mudaram.
  • O serviço do SQL Server inicia, mas o banco não fica disponível.
  • Backups de log, em geral .trn, também foram renomeados na mesma pasta.
  • A nota do ataque está junto dos arquivos de dados ou do log.

O que não fazer com o LDF

  • Não apague o LDF nem anexe o banco só com o MDF no servidor original.
  • Não use a opção de reconstruir o log no banco de produção sem o DBA avaliar a perda.
  • Não encolha, trunque ou mova o log original.
  • Não renomeie o arquivo cifrado de volta para .ldf.

O que fazer agora com o log

01

Mantenha o servidor isolado

Quem decide quando o servidor volta à rede é a equipe de resposta a incidentes. Até lá, não reinicie serviços para testar o banco.
02

Preserve o log junto com os dados

Faça cópia do LDF junto com MDF e NDF, mantendo os nomes, num disco sem ligação com o servidor. Mesmo cifrado, o log original pode ser útil.
03

Junte a sequência de backups

Liste o último backup completo, os diferenciais e os backups de log, com datas. Restaurar até perto do ataque depende dessa sequência estar inteira.
04

Registre o estado do banco

Anote mensagens de erro, o estado do banco e o horário da parada. A nota guardada permite checar, com a equipe, se há ferramenta no No More Ransom.
05

Descreva o estado de cada arquivo

Diga quais arquivos foram cifrados e quais parecem íntegros.
Perguntas frequentes

Perguntas sobre
LDF.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

Posso descartar o LDF cifrado e criar um log novo?
Em alguns casos o SQL Server consegue abrir o banco com um log novo, mas a contrapartida pode ser a perda de transações e dados inconsistentes. Faça isso só em cópia, com o DBA, depois de preservar o original. A Microsoft alerta para não apagar o log sem entender as consequências.
O LDF serve para recuperar dados apagados ou alterados?
O log registra as alterações, e ferramentas especializadas conseguem ler parte desse histórico. Mas o espaço do log é reaproveitado depois de checkpoints ou de backups de log, conforme o modelo de recuperação. Só a análise mostra o que ainda está no arquivo.
Tenho backups de log (.trn). Ajudam?
Ajudam muito, se a sequência estiver completa e íntegra. Com o último backup completo, o diferencial e os backups de log seguintes, a Microsoft descreve a restauração até o ponto da falha. Confira as cópias num servidor isolado antes de usar.
Qual é o prazo do diagnóstico num caso de banco?
Grátis, de 02 a 48 horas. Prazo de extração ou de entrega não é estimado antes: ele vem escrito no orçamento, se você decidir seguir.

Leia também

Fontes

Conteúdo editorial da Data Rescue, atualizado em 29/10/2026. Orientação geral: não substitui a avaliação do dispositivo, a resposta a incidentes nem orientação jurídica. Veja a política editorial.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

Iniciar recuperaçãoEntenda o processo