Por que o servidor de backup vira alvo
Sem backup, a pressão para pagar cresce, e por isso os grupos procuram o servidor de backup cedo. No alerta sobre o Akira, atualizado em novembro de 2025, a CISA relata a exploração das falhas CVE-2023-27532 e CVE-2024-40711 em servidores Veeam Backup & Replication sem correção e o uso de ferramentas para extrair credenciais guardadas neles.
Com as credenciais do servidor, o invasor alcança repositórios em Windows, compartilhamentos e storages ligados a ele. O que tende a sobreviver são cópias que essa conta não consegue alterar: repositório endurecido com imutabilidade, armazenamento de objetos com bloqueio, fita guardada fora da biblioteca e cópias em outro site, com credenciais próprias.
Imutabilidade, cópias externas e configuração
A Veeam documenta o Hardened Repository, um repositório Linux em que os arquivos de backup ficam imutáveis por um período definido: nesse prazo, não podem ser modificados nem apagados. Se o seu ambiente usava o recurso, pode haver pontos de restauração íntegros. Confirme as datas e a cadeia completa antes de qualquer uso.
O banco de configuração do Veeam guarda a descrição de jobs, repositórios e pontos de restauração. Se o servidor se perdeu, o backup da configuração ajuda a remontar o ambiente; sem ele, os arquivos de backup ainda podem ser importados de novo, com mais trabalho. Preserve também os VBM, que descrevem a cadeia de cada job.
Restauração concluída não é dado conferido
O guia de boas práticas de segurança da Veeam recomenda examinar backups em busca de malware antes de restaurar, para não trazer o invasor de volta, e testar a recuperação partindo só dos arquivos de backup e de uma infraestrutura vazia. Job concluído e VM ligada não provam que bancos e pastas estão na data certa. Confira com os donos de cada sistema.
Quando a cadeia foi atingida, cada arquivo tem uma situação. Um VBK grande cifrado só em partes pode guardar blocos legíveis; um VIB perdido quebra os incrementais seguintes. O que a Data Rescue examina são discos de repositório e arquivos VBK, VIB e VBM isolados. Conter o ataque, investigar e negociar não fazem parte desse trabalho.