Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Plataformas

Ransomware no TOTVS: o que preservar no Protheus, no RM e no Datasul

Quando o ransomware atinge um ERP da TOTVS, o dano raramente fica só no sistema: Protheus, RM e Datasul dependem de um banco de dados, como SQL Server, Oracle, PostgreSQL ou Progress, e de servidores de aplicação, dicionário e licenças. Preserve o banco, os backups e as pastas do servidor de aplicação antes de reinstalar. A avaliação procura cópias e trechos legíveis, sem garantia.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

Protheus
Application Server e DBAccess sobre SQL Server, Oracle ou PostgreSQL
Linha RM
banco SQL Server ou Oracle, conforme a versão; usa o TOTVS License Server
Datasul
plataforma Progress OpenEdge, com banco Progress, Oracle ou SQL Server
Fora do banco
repositório de objetos (RPO), arquivos de configuração e pastas do sistema
Quem envolver
DBA, atendimento TOTVS ou parceiro, resposta a incidentes e jurídico
Atendimento
Atendido, para arquivos do banco, backups e discos isolados

Onde ficam os dados de um ERP TOTVS

No Protheus, o TOTVS Application Server executa o repositório de objetos (RPO) e o TOTVS DBAccess faz a ponte com o banco de dados. Segundo o TDN, o portal técnico da TOTVS, a linha Protheus tem hoje SQL Server, Oracle e PostgreSQL como bancos suportados. Tabelas e movimentos ficam nesse banco; o dicionário de dados, conforme a versão, fica no banco ou em arquivos do sistema.

A linha RM trabalha sobre SQL Server ou Oracle, conforme o documento de portabilidade de cada versão, e exige o TOTVS License Server. O Datasul roda na plataforma Progress OpenEdge, com bancos Progress, Oracle ou SQL Server. Em todos, há peças fora do banco: servidores de aplicação, arquivos de configuração, certificados digitais e integrações.

O que preservar e em que ordem

Primeiro, o banco: arquivos de dados e de log do SGBD e todos os backups dele, inclusive os guardados em outra máquina. Depois, as pastas do servidor de aplicação, com RPO, arquivos de configuração e, no Protheus, a pasta Protheus_Data. Por fim, o servidor de licenças e os registros das integrações, como os da nota fiscal eletrônica.

Envolva o DBA e o atendimento TOTVS ou o parceiro que mantém o ERP: eles conhecem a versão, as customizações e o que precisa ser conferido. Esta página cita a documentação pública da TOTVS, o que não indica parceria com a fabricante. Como o ERP guarda dados de clientes e funcionários, a decisão sobre notificar a ANPD e os titulares deve começar logo, com o jurídico do controlador.

ERP no ar não é base conferida

Reinstalar o servidor de aplicação e restaurar o banco pode devolver o acesso ao ERP. Isso não prova que os lançamentos estão completos. Antes de liberar usuários, compare saldos, últimos documentos fiscais, folha e estoque com fontes externas, como notas emitidas, extratos bancários e arquivos enviados ao governo.

O banco de um ERP cresce por anos, e há ransomware que, diante de arquivos desse porte, cifra só intervalos; o restante às vezes permanece legível. Vale examinar; não é promessa. A Data Rescue examina arquivos do banco, backups e discos isolados. Não opera o ERP, não faz contenção nem perícia e não negocia. Veja também SQL Server e Oracle.

Como o ataque aparece no ERP

  • Ninguém entra no ERP e o Application Server ou o DBAccess não sobem.
  • O SGBD não abre o banco do ERP ou acusa arquivos ilegíveis.
  • Pastas do servidor de aplicação têm arquivos renomeados ou com extensão nova.
  • O License Server não responde e os usuários recebem erro de licença.
  • Rotinas de backup do banco pararam de rodar dias antes do ataque.

O que não fazer

  • Não reinstale o ERP nem recrie a base por cima dos arquivos atingidos.
  • Não aplique atualizações ou pacotes no ambiente antes de conferir a base restaurada.
  • Não libere usuários para lançar antes da conferência.
  • Não descarte os arquivos cifrados depois de restaurar: eles podem ser necessários.
  • Não abra conversa com o grupo criminoso por conta própria.

O que fazer agora

01

Pare tudo e chame a resposta a incidentes

A equipe de segurança isola servidores de banco, de aplicação e de licença. Nada de reinstalar antes da liberação.
02

Proteja o banco do ERP

Arquivos de dados e de log do SGBD e todos os backups, no servidor e fora dele. Cópias, se necessárias, vão para um storage à parte.
03

Guarde o servidor de aplicação como está

RPO, arquivos .ini, pastas do sistema e logs. Anote a versão e a release do ERP.
04

Chame o atendimento TOTVS e o DBA

O suporte ou o parceiro e o DBA definem o que é preciso para restaurar e conferir a base.
05

Planeje a conferência

Liste o que precisa bater antes de liberar usuários: fiscal, financeiro, folha e estoque.
Perguntas frequentes

Perguntas sobre
TOTVS.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

A TOTVS recupera o banco criptografado?
O suporte da TOTVS e dos parceiros cuida do sistema, de versões e de licenças. Recuperar os arquivos do banco depende de backups ou da análise dos próprios arquivos. Pergunte ao seu atendimento o que está no escopo do contrato.
Restaurei o backup. Posso voltar a lançar?
Só depois de a equipe de resposta liberar o ambiente e a base ser conferida. Notas emitidas, pagamentos e movimentos posteriores ao backup precisam ser reconstituídos ou relançados com controle.
O que mandar para a avaliação?
Em geral, os arquivos do banco e os backups isolados, com as versões do SGBD e do ERP. Antes de qualquer envio, a Data Rescue combina por escrito o que precisa receber.
Pagar o resgate libera o ERP?
Não há garantia de chave funcional nem de que os dados não vazem. A orientação da CISA e do FBI é não pagar. Com a equipe de resposta, consulte o No More Ransom e levante backups e cópias antes.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.