O que é um VHD e por que o ataque mira esse arquivo
O VHD (Virtual Hard Disk) é o formato original de disco virtual da Microsoft. Um único arquivo guarda um disco inteiro: partições, sistema de arquivos, sistema operacional e dados de uma máquina virtual. Ele ainda aparece em hosts de Hyper-V mais antigos e em discos convertidos entre plataformas. O sucessor é o VHDX, com estruturas diferentes.
Para quem ataca, um VHD rende muito com pouco esforço: cifrar um arquivo no host tira do ar um servidor inteiro, com tudo o que ele guarda.
Do que um VHD depende para abrir
A documentação da Microsoft descreve três tipos. No fixo, o arquivo tem o tamanho total do disco, e os dados ficam em sequência, seguidos de uma pequena estrutura de controle no fim, o rodapé. No dinâmico, o arquivo cresce com o uso, e uma tabela de alocação de blocos diz onde cada pedaço do disco está guardado. No de diferenciação, o arquivo registra só as alterações e depende de um disco pai.
Num VHD fixo, mesmo sem o rodapé, o conteúdo tende a estar em ordem dentro do arquivo, o que facilita achar partições e o sistema de arquivos. Num dinâmico, perder a tabela de alocação embaralha o mapa: os blocos existem, mas a ordem precisa ser reconstituída. Um disco de diferenciação sem o pai tem só blocos alterados, que sozinhos raramente formam um disco completo.
Cifragem parcial: o que pode ter sobrado num VHD
A CISA, agência de cibersegurança dos EUA, descreve famílias que cifram só uma parte de cada arquivo. No alerta sobre o Royal e o BlackSuit, o atacante escolhe a fração do arquivo a cifrar e pode reduzi-la nos arquivos grandes. Num disco virtual de dezenas ou centenas de gigabytes, isso pode deixar regiões inteiras sem alteração.
É uma possibilidade, não uma conclusão. Depende da família, da versão e de onde caíram os trechos cifrados. Se a estrutura do sistema de arquivos dentro do disco foi atingida, os arquivos precisam ser procurados pelo conteúdo, e nem todos voltam inteiros. Com a equipe de resposta, consulte também o No More Ransom, que reúne ferramentas públicas para algumas famílias.
Como a Data Rescue avalia um VHD atingido
Você descreve os discos e o que mais importa, e só envia algo depois de combinar o envio por escrito. Contenção do ataque, resposta a incidentes e perícia não fazem parte do serviço; o trabalho começa sobre cópias, com o host já isolado pela TI. A análise mede o que ainda é legível, confere rodapé, tabela de alocação e partições e, nas regiões íntegras, tenta montar o volume só para leitura ou extrair arquivos. O laudo separa o que voltou do que não voltou.