VMDK Data Recovery After an Akira Ransomware Attack

全部十二個硬盤,均於到達後24小時內完成映像處理,而之後所有操作均是在這些映像檔案上進行,而非直接操作原始硬盤。原始媒體在整個過程中,一直維持著剛送達時的原始狀態,從而在分析工作持續進行期間,妥善保存了證據的完整性。

若逐一掃描約120TB的映像檔案,根本不切實際。工程師們遂將工作拆分成以TB為單位的區段,並同時運行十項掃描,使數據吞吐量達到硬件本身的極限。隨後,團隊在第二台系統上建立了第二套映像檔案,使提取工作得以在兩台機器上同時並行進行。

隨著數據不斷被刪除,BTRFS開始清除將已儲存數據對應至其實際物理位置的映射層。這份映射表中約有7TB受到影響,導致本應可讀取的存儲空間產生無法使用的輸出結果。工程師發現,受影響的區域在刪除之前曾經是連續分配的,因此手動重建成為可行方案。透過手動重建映射表,團隊成功恢復了約5TB、原本已被文件系統釋放的備份數據存取權。

一個受損的VMDK文件,甚少只是單純地「可讀取」或「不可讀取」而已。工程師需將完整無損的區域,與遭到加密、損毀、部分覆寫,或結構受損的區域區分開來。三台最優先處理的機器,各自擁有五至六個還原點,最近一個還原點是在攻擊發生前不久建立的,合共涉及35個VMDK文件。損毀範圍影響了每個文件約3%至5%的內容。在其中一台機器上,加密程式甚至完全未曾觸及虛擬磁盤文件。

在單靠備份數據無法完整覆蓋某個數據集的情況下,工程師會將生產環境虛擬磁盤中未經加密的區域數據合併填補。此做法雖然行之有效,但同時亦需格外謹慎。三台優先處理機器中,有兩台同時附帶快照文件,而快照文件與其所代表的數據之間,並非一對一的對應關係。用以將快照文件對應至其所代表數據的結構,恰好位於已加密的區域內。因此,若使用生產環境虛擬磁盤來填補缺口,有可能引入較舊版本的數據,並造成日後難以追蹤根源的數據損毀問題。工程師遂針對每個數據集個別評估相關風險,而非一律採取合併處理的預設做法。

DriveSavers與事故應變公司及客戶合作,事先確定磁盤將被匯入的目標環境。提取出的文件層級數據會首先透過網絡傳送回客戶,讓客戶能夠在其餘工作仍在進行的同時,存取特定文件。隨後,適合重新匯入的完整VMDK文件亦會相繼交付。