Por que o ataque mira o VBK
Na documentação da Veeam, o VBK é o arquivo de backup completo: guarda uma cópia da imagem inteira das máquinas processadas pela tarefa. Os VIB registram só as mudanças seguintes e precisam dele para restaurar. A Veeam alerta que, se um arquivo da cadeia faltar, não é possível voltar ao estado desejado, e que arquivos de backup não devem ser apagados à mão.
Isso torna o VBK uma peça central para quem quer impedir a restauração. Sem ele, a empresa perde a base de restauração de todas as máquinas da tarefa. Repositórios acessíveis pela rede com credenciais do domínio ficam expostos; cópias imutáveis, offline ou em outro site têm mais chance de escapar.
Arquivos grandes, cifragem parcial
Um VBK pode ter de dezenas de gigabytes a vários terabytes. Alertas da CISA descrevem famílias que cifram só uma fração de cada arquivo e reduzem essa fração nos maiores, o que ajuda o atacante a evitar a detecção. Nesses casos, boa parte do VBK pode continuar como estava.
Dentro do VBK, os dados ficam em blocos, em geral compactados e às vezes deduplicados, com estruturas internas que dizem a que disco e a que posição cada bloco pertence. Quando essas estruturas foram atingidas, os blocos legíveis precisam ser localizados e reordenados. Se o backup tinha criptografia da própria Veeam, a senha da tarefa continua necessária.
Como a Data Rescue avalia um VBK
Conte onde fica o repositório, o tamanho dos arquivos, quais máquinas estavam na tarefa, se havia criptografia da Veeam e se existem réplicas em outro site. Nada é enviado antes de o envio ser combinado por escrito. Isolar a rede e investigar a invasão continuam com a sua equipe; a análise começa depois da contenção, sempre em cópias.
A análise mede a extensão da cifragem, identifica os blocos e as estruturas legíveis e tenta reconstituir os discos virtuais ou, ao menos, os arquivos de dentro deles. O resultado varia de máquina para máquina dentro do mesmo backup. O laudo informa o que foi possível extrair e o que não foi.