As equipes de recuperação de dados estão enfrentando um teste mais difícil, de acordo com a empresa de proteção de dados Index Engines. A empresa afirma que novos ransomwares frequentemente corrompem arquivos sem criptografá-los completamente. Isso parece uma pequena distinção técnica, mas muda como a recuperação funciona. Para qualquer pessoa que dependa de backups, backups de dados contra corrupção por ransomware é agora uma combinação que vale a pena entender.

O relatório original é breve, então este artigo se atém ao que a Index Engines disse e adiciona contexto geral sobre como danos a arquivos e práticas de backup funcionam. Onde explicamos mecanismos, estamos descrevendo raciocínio técnico comum, não afirmações do relatório.

Por que o ransomware está corrompendo arquivos em vez de criptografá-los

O relatório indica a tendência, mas não detalha, no resumo disponível para nós, os motivos por trás dela. Alguns pontos gerais ajudam a explicar por que os atacantes podem preferir a corrupção à criptografia completa.

A criptografia completa de cada arquivo leva tempo e consome recursos computacionais. Danificar apenas partes de um arquivo, ou sobrescrever dados de forma que os torne inutilizáveis, pode ser mais rápido. Também pode ser mais difícil de detectar. Muitas defesas estão ajustadas para procurar o padrão familiar de criptografia em massa, como arquivos sendo renomeados ou uma nota de resgate aparecendo. Danos que se parecem mais com erros comuns de arquivo podem atrair menos atenção no início.

Há também uma consequência prática para as vítimas. Se os arquivos forem criptografados, uma chave de descriptografia às vezes pode restaurá-los. Se os arquivos forem corrompidos, pode não haver nada para descriptografar. O único caminho confiável de volta é uma cópia limpa.

O que a corrupção parcial significa para a recuperação de dados

A Index Engines afirma que as equipes de recuperação enfrentam um trabalho mais difícil como resultado. A razão é direta: as suposições usuais de recuperação se desfazem.

  • Os arquivos podem parecer presentes, mas serem inutilizáveis. Um documento pode existir, mostrar um tamanho normal e ainda assim falhar ao abrir.
  • Os danos podem se espalhar para os backups. Se o software de backup copiar arquivos corrompidos conforme o cronograma, as versões boas podem ser sobrescritas pelas ruins ao longo do tempo.
  • O escopo é mais difícil de medir. Com criptografia completa, fica claro o que foi afetado. Com corrupção parcial, as equipes podem não saber quais arquivos estão danificados e quais estão intactos sem verificar cada um.

Esse último ponto é o mais importante. Um backup só é útil se você souber qual ponto de restauração está limpo. Sem esse conhecimento, a recuperação pode se transformar em lentas tentativas e erros.

Como proteger backups contra ataques de corrupção

O objetivo é manter pelo menos uma cópia limpa e intocada dos seus dados que um atacante não possa alcançar ou alterar. Alguns hábitos ajudam indivíduos e pequenas organizações a chegar lá.

Mantenha backups versionados. O versionamento armazena múltiplas cópias históricas de um arquivo em vez de apenas a mais recente. Se a versão de hoje estiver corrompida, a de ontem ou da semana passada ainda pode estar boa. Defina a retenção por tempo suficiente para que danos lentos e silenciosos não eliminem suas cópias boas antes que você perceba.

Mantenha uma cópia offline ou desconectada. Um drive de backup que fica conectado o tempo todo pode ser alcançado por qualquer coisa que alcance seu computador. Alternar um drive que é desconectado após cada backup limita essa exposição.

Use armazenamento imutável quando possível. Backups imutáveis não podem ser alterados ou excluídos por um período definido, nem mesmo por uma conta de administrador. Isso os torna resistentes tanto à criptografia quanto à corrupção. Nosso explicador sobre backups imutáveis como última linha de defesa contra ransomware aborda como isso funciona e por que os atacantes agora visam diretamente os sistemas de recuperação.

Separe suas credenciais. Os sistemas de backup não devem compartilhar o mesmo login que as contas do dia a dia. Se um atacante assumir o controle de uma conta de uso diário, ele não deve ganhar automaticamente acesso aos seus backups.

Teste as restaurações, não apenas os backups. Um trabalho de backup que reporta sucesso só informa que os dados foram copiados. Periodicamente, restaure uma amostra de arquivos e abra-os. Esta é a maneira mais simples de detectar corrupção silenciosa antes de precisar dos dados.

Sinais de alerta precoce de danos inesperados a arquivos

Como a corrupção pode ser mais silenciosa que a criptografia, a detecção precoce importa. Fique atento a sinais como:

  • Arquivos que de repente falham ao abrir ou mostram erros, especialmente vários ao mesmo tempo
  • Documentos, fotos ou bancos de dados que abrem mas contêm conteúdo embaralhado ou ausente
  • Mudanças inexplicáveis nos tamanhos ou datas de modificação de arquivos em muitos arquivos
  • Trabalhos de backup que levam notavelmente mais ou menos tempo que o habitual, ou que começam a reportar avisos
  • Atividade de disco incomum ou lentidão quando ninguém está usando o sistema intensamente

As organizações podem adicionar monitoramento que alerta sobre grandes números de arquivos sendo alterados em pouco tempo. Indivíduos podem obter muito do benefício verificando pastas importantes e lendo as notificações do software de backup em vez de ignorá-las.

Se você suspeitar de danos, desconecte o dispositivo afetado da rede e pare os trabalhos de backup antes que eles sobrescrevam versões boas com ruins. Em seguida, identifique o último ponto de restauração limpo conhecido.

O que isso significa para você

O relatório da Index Engines é um lembrete de que o planejamento de recuperação não pode assumir que o ransomware sempre se anunciará com uma nota de resgate e arquivos bloqueados. Se o dano for parcial e silencioso, a qualidade dos seus backups decide quanto você pode recuperar.

Para usuários domésticos, isso significa ter mais de uma cópia do que importa, com pelo menos uma mantida offline. Para pequenas organizações, significa cópias versionadas e imutáveis, credenciais separadas para sistemas de backup e testes regulares de restauração. Nada disso exige um grande orçamento, mas exige atenção antes que algo dê errado.

Principais conclusões: revise sua configuração de backup esta semana

  • Confirme que seus backups mantêm múltiplas versões, não apenas a cópia mais recente.
  • Adicione uma cópia offline ou desconectada dos seus dados mais importantes.
  • Considere armazenamento imutável para backups críticos.
  • Restaure alguns arquivos do backup e confirme que abrem corretamente.
  • Preste atenção aos avisos de backup e erros inesperados de arquivos.

Backups de dados contra corrupção por ransomware é um problema para o qual você pode se preparar com alguns passos deliberados. Reserve um tempo esta semana para verificar sua configuração e leia nosso guia sobre backups imutáveis para um olhar mais aprofundado sobre a proteção dos sistemas dos quais você depende para se recuperar.