Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Arquivos

TIBX criptografado por ransomware: os backups do Acronis

Um .tibx criptografado é um backup do Acronis no formato versão 12, em que a cadeia inteira, com o backup completo ou diferencial e os incrementais que dependem dele, fica num único arquivo. Por isso a cifragem de um TIBX pode atingir vários pontos de restauração de uma vez. Em arquivos grandes, trechos podem ter ficado legíveis. Não renomeie nada e guarde a nota do ataque; a avaliação é feita em cópias.

Iniciar recuperaçãoPerguntas frequentes

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

Extensão
.tibx no formato versão 12; .tib no formato versão 11
Origem
Acronis Cyber Protect e linhas anteriores do Acronis
Organização
uma cadeia por arquivo: completo ou diferencial mais os incrementais
Recurso interno
deduplicação dentro do arquivo, ativa por padrão
Formato anterior
vários .tib e um arquivo de metadados em XML
Atendimento
Atendido, com orçamento por escrito antes de qualquer trabalho

O que muda no formato TIBX

Segundo a documentação do Acronis Cyber Protect, no formato versão 12 cada cadeia de backup, ou seja, um backup completo ou diferencial e todos os incrementais que dependem dele, é gravada num único arquivo .tibx. No formato anterior, a versão 11, os backups ficavam em vários arquivos .tib, com um arquivo de metadados em XML. O TIBX também usa deduplicação dentro do arquivo, ativada por padrão.

Na prática, um único TIBX pode concentrar semanas de pontos de restauração de um servidor. Se o ataque cifra esse arquivo, todos os pontos guardados nele são atingidos ao mesmo tempo. É diferente de uma cadeia em arquivos separados, como a do Veeam, com VBK e VIB.

Deduplicação e cifragem parcial

A deduplicação guarda uma vez só os blocos repetidos e faz vários pontos de restauração apontarem para eles. Isso economiza espaço, mas cria dependência: um trecho cifrado pode afetar mais de um ponto, e um trecho íntegro pode servir a vários. Onde caíram os trechos cifrados importa tanto quanto a quantidade.

Segundo alertas da CISA, há famílias que deixam sem cifrar boa parte dos arquivos grandes. Num TIBX com centenas de gigabytes, a parte poupada pode ser extensa. Se o plano de backup usava senha ou criptografia do próprio Acronis, ela continua necessária para ler o conteúdo, mesmo nas partes que o ataque não alcançou.

Como a Data Rescue avalia um TIBX

A Data Rescue atende backups do Acronis. Informe a versão do Acronis, o tipo de backup (disco inteiro, máquina virtual ou arquivos), o tamanho do TIBX, se havia senha e se existem cópias em nuvem ou em outro local. O envio é combinado por escrito, antes de qualquer remessa. A contenção e a investigação são da sua equipe de segurança; a Data Rescue atua em cópias, depois do isolamento.

Na análise, a cópia do arquivo é examinada para separar regiões íntegras e cifradas e reconstituir o que for possível da estrutura interna da cadeia. A partir daí, tenta-se recuperar o ponto de restauração mais completo ou extrair arquivos dele. O laudo descreve o que foi recuperado de cada ponto, sem promessa prévia.

Sinais de que o TIBX foi cifrado

  • O Acronis não lista os pontos de restauração ou informa que o arquivo de backup está danificado.
  • O .tibx ganhou outra extensão, e o tamanho continua parecido com o de antes.
  • A validação do backup falha logo no início.
  • Cópias locais e as do NAS foram atingidas ao mesmo tempo.
  • O grupo deixou uma nota na pasta de destino dos backups.

O que não fazer com um TIBX

  • Não rode limpeza, consolidação ou retenção de backups sobre o arquivo original.
  • Não renomeie o arquivo para .tibx esperando que o Acronis o reconheça.
  • Não restaure discos inteiros por cima do servidor atacado antes da liberação.
  • Não tente converter o arquivo para outro formato antes da análise.

Primeiros passos com os backups do Acronis

01

Confirme a contenção

O servidor de gerenciamento do Acronis e os destinos de backup precisam estar isolados pela equipe de resposta antes de qualquer teste.
02

Copie os arquivos de backup

Duplique cada .tibx e, se houver, os .tib e os XML antigos num disco à parte, sem renomear. Se o backup foi dividido em partes, copie todas.
03

Confira a nuvem e outros destinos

Réplicas na nuvem ou em outro local podem estar intactas. Faça a lista antes de restaurar qualquer coisa.
04

Localize a senha do plano e os registros

Se o plano usava senha ou criptografia do Acronis, encontre-a. Preserve também a nota de resgate e os registros do produto.
05

Conte o caso

Diga o que o backup protegia, o tamanho e as datas dos pontos de restauração.
Perguntas frequentes

Perguntas sobre
TIBX.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

Por que um único TIBX atingido afeta tantos pontos de restauração?
Porque, no formato versão 12, a cadeia inteira mora no mesmo arquivo: o backup completo ou diferencial e os incrementais que dependem dele. Quando o arquivo é cifrado, todos esses pontos ficam comprometidos juntos, ainda que em graus diferentes.
Backups antigos em .tib também correm risco?
Correm, se estavam acessíveis pela rede no momento do ataque: o guia da CISA observa que backups ao alcance do atacante costumam ser procurados. A diferença é que, no formato antigo, os backups ficam em vários arquivos e os metadados vão num XML separado, o que muda a forma de reconstituir a cadeia.
Posso validar o backup cifrado no próprio Acronis?
Validar uma cópia, num computador isolado, ajuda a saber o que ainda é lido. Não faça isso no arquivo original nem no ambiente atacado, e não deixe tarefas de limpeza ou consolidação rodarem durante a avaliação.
O servidor guardava dados pessoais. O que fazer além de recuperar os arquivos?
Envolver o jurídico desde já. Quando o incidente atinge dados pessoais e pode gerar risco ou dano relevante, o controlador precisa avaliar se comunica a ANPD e os titulares; a regra está na Resolução CD/ANPD nº 15/2024. A recuperação dos backups corre em paralelo.

Leia também

Fontes

Conteúdo editorial da Data Rescue, atualizado em 29/10/2026. Orientação geral: não substitui a avaliação do dispositivo, a resposta a incidentes nem orientação jurídica. Veja a política editorial.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

Iniciar recuperaçãoEntenda o processo