Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Plataformas

Ransomware no Oracle Database: o que fazer com datafiles, logs e backups RMAN

Num ataque ao Oracle Database, o ransomware costuma cifrar datafiles, controlfiles, redo logs online e archive logs, além das áreas de backup do RMAN no mesmo servidor. Preserve tudo como está e não recrie o banco nem o controlfile por tentativa. Depois do isolamento, a avaliação procura backups íntegros, um standby que escapou ou blocos legíveis, sem promessa de resultado.

Iniciar recuperaçãoPerguntas frequentes

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

Datafiles
guardam os dados; todo banco tem pelo menos um
Controlfile
arquivo pequeno com a estrutura do banco; a Oracle recomenda cópias em discos diferentes
Redo log online
registra cada mudança nos datafiles; peça central da recuperação
Archive logs
cópias dos redo logs preenchidos, gravadas em outro local
Backup
RMAN, com registro no controlfile ou num recovery catalog
Réplica
Data Guard: standby atualizado com o redo enviado pelo primário

Quais arquivos importam no Oracle

A documentação da Oracle descreve o banco como um conjunto de arquivos físicos. Os datafiles têm os dados. O controlfile registra a estrutura e o estado do banco. O redo log online anota cada mudança e é, segundo a Oracle, a estrutura mais crucial para a recuperação. Os archive logs são cópias dos redo logs já preenchidos.

Se todas as cópias do controlfile se perdem, a instância cai e a recuperação passa a depender de backup, mais difícil quando só existe um controlfile antigo. Por isso, num incidente, cada cópia de controlfile, cada archive log e cada peça de backup do RMAN conta. Não descarte nada porque parece duplicado ou velho.

RMAN e Data Guard depois do ataque

O RMAN, ferramenta de backup do Oracle, registra os backups no controlfile ou num recovery catalog e consegue checar se um backup pode ser restaurado sem gravar nada. Se o catálogo ou a Fast Recovery Area estava no mesmo servidor, pode ter sido cifrado junto. Procure peças de backup em fita, nuvem ou storage separado e anote as anteriores ao ataque.

O Data Guard mantém um banco standby aplicando o redo enviado pelo primário. A Oracle explica que erros no nível de arquivo, como a exclusão acidental de datafiles no storage, não chegam ao standby. Assim, um standby em outro servidor pode guardar uma cópia útil, desde que o próprio servidor não tenha sido atingido. Ações do invasor dentro do banco, porém, chegam pelo redo.

Banco aberto não é banco conferido

Restaurar com o RMAN e abrir o banco pode devolver o sistema. Isso não prova que os dados estão completos: pode faltar o período entre o último archive log disponível e o ataque. Combine com o DBA e com os donos da aplicação uma conferência de tabelas, totais e últimos lançamentos antes de liberar usuários.

Como datafiles têm muitos gigabytes, há famílias que cifram apenas faixas de cada um, e blocos fora dessas faixas podem seguir legíveis. Isso se examina sem compromisso de resultado. A Data Rescue avalia datafiles, logs e peças de backup isoladas; não entra no ambiente para conter o ataque, não faz perícia e não negocia.

Como o ataque aparece no Oracle

  • A instância não abre e o alert log aponta datafile ou controlfile ilegível.
  • Datafiles, controlfiles e arquivos de log ganharam extensão nova ou nome trocado.
  • A área de backup do RMAN ou a Fast Recovery Area está vazia ou alterada.
  • O standby parou de aplicar redo ou mostra os mesmos arquivos alterados.
  • Rotinas de backup do banco foram desativadas pouco antes do ataque.

O que não fazer

  • Não recrie o controlfile nem force a abertura do banco por tentativa.
  • Não apague archive logs para liberar espaço em disco.
  • Não faça failover para o standby sem saber se ele foi atingido.
  • Não restaure peças de backup por cima dos datafiles originais.
  • Não use programas desconhecidos para ler datafiles cifrados.

O que fazer agora

01

Deixe a contenção com a equipe de segurança

Ela isola os servidores do banco, do standby e do backup. Não reinicie instâncias nem rode recuperação enquanto isso não termina.
02

Preserve o conjunto inteiro

Datafiles, todas as cópias do controlfile, redo e archive logs, spfile e arquivo de senhas. Se for copiar, grave em outro destino e não altere o original.
03

Mapeie backups e standby

Liste peças RMAN em disco, fita e nuvem, o recovery catalog e o estado do Data Guard. Anote o que é anterior ao ataque.
04

Registre versões e mensagens

Versão do Oracle, sistema operacional, uso de ASM ou de sistema de arquivos, mensagens do alert log e as tentativas já feitas.
05

Reúna DBA, fornecedor e jurídico

O DBA, o fornecedor da aplicação e o jurídico decidem juntos. Se o banco tem dados pessoais, entra na pauta o dever de comunicar o incidente à ANPD e aos titulares, que o controlador analisa com o jurídico.
Perguntas frequentes

Perguntas sobre
Oracle.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

O standby do Data Guard salva o banco?
Pode ajudar, se o servidor do standby escapou e a aplicação de redo parou antes de qualquer dano feito dentro do banco, como tabelas apagadas pelo invasor. Confirme com o DBA o estado do standby antes do failover.
Sem controlfile ainda dá para recuperar?
Pode haver caminho com um backup do controlfile, um autobackup do RMAN ou outra cópia multiplexada. Sem nenhum deles, a análise passa a depender do que sobrou nos datafiles e nos logs. Não recrie o arquivo por tentativa.
A Data Rescue faz a restauração no meu servidor?
Não. A Data Rescue avalia arquivos e backups já isolados e diz por escrito o que é possível. Contenção, investigação e decisões sobre o ambiente cabem à sua equipe e à resposta a incidentes.
Vale pagar o resgate para ter o banco de volta?
Nada assegura que a chave funcione nem que os dados deixem de vazar, e as agências americanas CISA e FBI recomendam não pagar. Antes de qualquer decisão, levante com a equipe de resposta o que existe em backups, standby e arquivos.

Leia também

Fontes

Conteúdo editorial da Data Rescue, atualizado em 29/10/2026. Orientação geral: não substitui a avaliação do dispositivo, a resposta a incidentes nem orientação jurídica. Veja a política editorial.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

Iniciar recuperaçãoEntenda o processo