Por que o VHDX concentra o risco
O VHDX é o formato de disco virtual que o Hyper-V usa desde o Windows Server 2012. Ele substituiu o VHD, aceita discos de até 64 TB e protege as próprias estruturas contra queda de energia registrando as alterações num log interno. Num servidor de arquivos, de ERP ou de banco, um único VHDX pode conter todo o volume de dados da empresa.
Por isso ele interessa tanto a quem ataca: cifrar os discos no host derruba várias máquinas de uma vez. Checkpoints e exportações guardados no mesmo volume tendem a ser atingidos junto.
As estruturas que fazem o VHDX abrir
A especificação publicada pela Microsoft (MS-VHDX) divide o arquivo em regiões. No começo ficam o identificador do formato, dois cabeçalhos e a tabela de regiões, que aponta para a BAT, o mapa que diz onde cada trecho do disco virtual está guardado, e para a região de metadados, com o tamanho do disco, o tamanho dos blocos e, na diferenciação, o caminho do disco pai.
Se o trecho cifrado incluiu o começo do arquivo, os cabeçalhos se perdem, mas o resto pode ter sobrado. Às vezes é possível localizar as demais regiões e remontar o mapa. Se a própria BAT foi atingida, os blocos de dados continuam no arquivo, só que sem a ordem; a análise passa a procurar o sistema de arquivos e os arquivos pelo conteúdo.
Cifragem intermitente em discos grandes
O alerta conjunto da CISA e do FBI sobre o Play descreve cifragem intermitente: trechos de 1 MB cifrados de forma alternada. Em arquivos de centenas de gigabytes, esse padrão, ou outros que cifram só uma fração do arquivo, pode deixar boa parte do conteúdo intacta. Não vale para todas as famílias, e não se sabe de antemão onde ficaram os trechos íntegros.
Mesmo quando muito sobrou, arquivos que cruzam um trecho cifrado chegam danificados. A análise separa o que está inteiro do que foi atingido, e o laudo registra essa diferença.
Como a Data Rescue avalia um VHDX
Primeiro, você conta o caso: quantos VHDX, os tamanhos, se eram fixos ou dinâmicos, se havia checkpoints e o que precisa voltar. O envio é combinado por escrito, antes de qualquer remessa. Contenção, investigação do ataque e perícia ficam com a equipe de resposta a incidentes; a avaliação começa com o ambiente já isolado.
Na cópia, a análise identifica as regiões legíveis, tenta refazer cabeçalhos, mapa de blocos e cadeia de diferenciação e, quando possível, monta o volume só para leitura. O que não puder ser montado é procurado arquivo a arquivo. Ninguém consegue prometer o resultado antes dessa análise.