O que o ataque costuma atingir
Segundo a Microsoft, cada banco SQL Server tem no mínimo dois arquivos no sistema operacional: dados e log. O primário (.mdf) guarda as informações de partida e aponta para os demais; os secundários (.ndf) podem estar em outros discos; o log (.ldf) registra o necessário para recuperar as transações. O banco só volta inteiro se o conjunto estiver coerente.
É comum o ransomware encerrar os serviços de banco antes de cifrar, para liberar os arquivos em uso. Depois vêm as pastas de backup no próprio servidor ou em compartilhamentos que a mesma conta alcança. Por isso instâncias de produção, de teste e de relatórios no mesmo domínio costumam cair juntas, levando os backups.
Backups .bak: o que conferir antes de restaurar
A Microsoft recomenda guardar os backups num local físico separado dos arquivos do banco e afirma que não existe estratégia de restauração sem teste. Num incidente, procure cópias fora do alcance do domínio atingido: outro storage, nuvem com retenção, fita. Anote data e tipo de cada uma: completo, diferencial ou de log.
A documentação também alerta para o risco de restaurar um .bak de origem não confiável, que pode comprometer a instância inteira. Restaure só backups que ficaram dentro de um limite confiável e numa instância isolada. Depois, o DBA roda as checagens de consistência indicadas pela Microsoft, como o DBCC CHECKDB, antes de liberar o banco.
Banco no ar não é banco conferido
Restaurar o último backup bom pode pôr o sistema para rodar no mesmo dia. O que entrou entre o backup e o ataque, porém, fica de fora, e uma restauração sem conferência pode esconder tabelas vazias ou lançamentos faltando. Peça ao DBA e aos donos do sistema que comparem totais, últimas notas e últimos registros.
Em arquivos MDF grandes, algumas famílias cifram só blocos espaçados, e páginas fora desses blocos podem continuar legíveis, o que às vezes permite extrair tabelas. É hipótese a examinar, nunca promessa. A Data Rescue analisa MDF, NDF, LDF e .bak isolados; isolamento, perícia e negociação ficam com outros especialistas.