Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Arquivos

MDF criptografado por ransomware: dá para recuperar o banco?

Um .mdf atingido por ransomware pode conservar tabelas legíveis, porque o SQL Server grava os dados em páginas de 8 KB e a cifragem parcial pode deixar muitas delas intactas. O MDF é o arquivo de dados primário do banco e trabalha junto com o LDF, o log de transações, e com eventuais NDF. Preserve todos com os nomes atuais, junto dos backups e da nota. A análise usa cópias e tenta extrair registros das páginas íntegras.

Iniciar recuperaçãoPerguntas frequentes

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

Extensão
.mdf (dados primários); .ndf nos arquivos secundários
Origem
Microsoft SQL Server
Unidade de gravação
páginas de 8 KB, em grupos de oito chamados extents
Trabalha com
o .ldf, log de transações do mesmo banco
Atendimento
Atendido, com orçamento por escrito antes de qualquer trabalho

O que o MDF guarda

Todo banco do SQL Server tem, no mínimo, um arquivo de dados e um de log. O primário, com extensão .mdf, guarda as informações de inicialização do banco, aponta para os demais arquivos e contém tabelas, índices e outros objetos. Bancos maiores podem ter arquivos secundários .ndf, e os dados se espalham entre eles. Por isso o MDF quase nunca anda sozinho: o LDF e os NDF fazem parte do mesmo banco.

Quando o MDF de um sistema de gestão, financeiro ou cadastro é cifrado, a operação para em todas as estações. É esse efeito que faz do servidor de banco um alvo frequente.

Por que as páginas de 8 KB importam na avaliação

A Microsoft descreve o arquivo de dados como uma sequência de páginas de 8 KB, numeradas a partir de zero. Cada página começa com um cabeçalho de 96 bytes que identifica o número, o tipo e o objeto a que ela pertence. As primeiras páginas guardam o cabeçalho do arquivo e mapas de alocação; uma delas, a página de boot, descreve o próprio banco.

Essa organização regular é o que dá chance a um MDF parcialmente cifrado. O alerta da CISA sobre o Royal e o BlackSuit fala em cifrar apenas uma parte escolhida de cada arquivo, reduzida nos maiores. Se o começo foi atingido, o SQL Server não anexa o banco, mas páginas de dados mais adiante podem continuar legíveis e reconhecíveis pelo cabeçalho. A partir delas, às vezes dá para remontar tabelas inteiras ou parte dos registros.

O limite é claro: páginas que caíram num trecho cifrado se perdem, e uma tabela pode voltar com lacunas. Índices, chaves e relações entre tabelas precisam ser conferidos pelo responsável pelo sistema antes de qualquer uso em produção.

Como a Data Rescue avalia um MDF

Você informa a versão do SQL Server se souber, o tamanho dos arquivos, quais bancos foram atingidos e se existem backups guardados fora do servidor. O envio é combinado por escrito, antes de qualquer remessa. Isolar o servidor, investigar e fazer perícia é papel de quem responde pelo incidente. Na cópia, a análise estima quanto foi cifrado, identifica as páginas íntegras e o esquema das tabelas e tenta extrair os registros para um banco novo ou para arquivos de exportação, que o seu responsável técnico confere. Não há promessa de que todas as tabelas voltem.

Sinais de que o MDF foi cifrado

  • O banco aparece como suspeito ou em recuperação pendente, ou o serviço do SQL Server não inicia.
  • Os arquivos .mdf, .ndf e .ldf ganharam outra extensão ou um nome com letras aleatórias.
  • Os arquivos .bak do mesmo servidor também mudaram de nome.
  • Uma nota de resgate foi deixada na pasta de dados do SQL Server ou na de backup.

O que não fazer com o MDF

  • Não renomeie o arquivo para .mdf e tente anexar no servidor: o conteúdo continua cifrado.
  • Não rode reparo do banco, como o DBCC CHECKDB com opção de reparo, sobre o arquivo original.
  • Não apague nem recrie o LDF para forçar o banco a subir.
  • Não restaure um .bak por cima do banco no servidor atacado antes da liberação.
  • Não mande cópia do banco por e-mail ou por serviço público de arquivos: ele costuma conter dados pessoais.

O que fazer agora com o banco

01

Deixe o servidor isolado

Conter o ataque e investigar a origem é trabalho da equipe de segurança. Não religue serviços nem conecte o servidor à rede para testar.
02

Copie todos os arquivos do banco

Leve MDF, NDF e LDF, sem mudar os nomes, para um armazenamento separado e desconectado. Inclua os bancos de sistema, como o master, se estiverem na mesma pasta.
03

Reúna os backups

Liste os .bak, os backups de log e as cópias em nuvem, fita ou outro site, com datas. Um backup íntegro anterior ao ataque muda o plano.
04

Preserve nota e registros

Guarde a nota, a extensão nova e os registros do Windows e do SQL Server. Registre também quando o sistema parou.
05

Peça a avaliação

Descreva versões, tamanhos, bancos atingidos e o que é mais crítico para a operação.
Perguntas frequentes

Perguntas sobre
MDF.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

Recuperar só o MDF, sem o LDF, funciona?
Às vezes, mas com perdas. O LDF guarda transações que talvez não tenham chegado ao MDF; sem ele, o banco pode ficar inconsistente. Por isso os dois devem ser preservados juntos, mesmo que um pareça mais danificado que o outro.
Tenho um .bak de antes do ataque. Ainda preciso avaliar o MDF?
Se o .bak está íntegro e é recente o bastante, ele costuma ser o caminho mais curto. A avaliação do MDF serve para o período entre o backup e o ataque, ou para quando o .bak também foi atingido. Teste a restauração em cópia, num servidor isolado.
O banco tinha dados de clientes. O que a empresa deve fazer?
Se o incidente envolve dados pessoais e pode causar risco ou dano relevante aos titulares, cabe ao controlador decidir, com apoio jurídico, sobre o aviso à ANPD e às pessoas afetadas, como prevê a Resolução CD/ANPD nº 15/2024. Isso não depende de o banco voltar.
Quanto custa avaliar um banco SQL Server criptografado?
Não há valor fixo para banco de dados: o preço só existe no orçamento por escrito, feito depois do diagnóstico, e nada começa sem a sua aprovação. Os detalhes estão em como cobramos.

Leia também

Fontes

Conteúdo editorial da Data Rescue, atualizado em 29/10/2026. Orientação geral: não substitui a avaliação do dispositivo, a resposta a incidentes nem orientação jurídica. Veja a política editorial.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

Iniciar recuperaçãoEntenda o processo