Quando o backup também foi criptografado pelo ransomware, a sensação é de beco sem saída — mas existem caminhos técnicos viáveis que a maioria das vítimas desconhece. O ransomware moderno não apenas bloqueia seus arquivos principais: frequentemente varre toda a estrutura de armazenamento em busca de backups, cópias de segurança e versões anteriores, criptografando tudo o que encontra. Isso elimina a saída mais óbvia e deixa muitos usuários e empresas convencidos de que os dados estão perdidos para sempre.
A realidade técnica é diferente. Dependendo de como o backup foi armazenado, do tipo de dispositivo e do estágio da infecção, ainda há possibilidades reais de recuperação dos dados — mesmo que criptografados. Recuperadoras especializadas em casos de ransomware trabalham com metodologias que vão além do simples acesso ao arquivo: análise forense do dispositivo, reconstrução de estruturas de dados, e em alguns cenários, até mesmo exploração de vulnerabilidades específicas do malware usado. Este artigo detalha o que é tecnicamente possível quando você está nessa situação e por que agir rápido faz diferença.
Meu backup foi criptografado pelo ransomware: ainda existe saída?
Descobrir que o ransomware não parou nos dados principais e avançou sobre o backup é um dos cenários mais angustiantes em segurança da informação. A sensação imediata é de que não há mais nada a fazer — e é exatamente nesse momento de pânico que decisões erradas aprofundam o estrago. A resposta direta à pergunta do título é: sim, em muitos casos ainda existe saída, mas ela depende de uma sequência correta de ações, de uma avaliação técnica honesta e, frequentemente, da intervenção de um laboratório especializado.
Este guia percorre cada etapa — do que fazer nos primeiros minutos até como proteger os próximos backups para que o cenário não se repita. O objetivo é substituir o desespero por um protocolo racional, sem subestimar a gravidade do problema nem fechar prematuramente as possibilidades de recuperação.
Primeiros passos imediatos ao descobrir que o backup também foi afetado
Os primeiros trinta minutos após a confirmação do ataque determinam, em grande parte, o espaço de manobra disponível nas etapas seguintes. Cada ação precipitada — reinicialização, formatação, tentativa de descriptografia caseira — pode sobrescrever fragmentos de dados que ainda seriam recuperáveis por técnicas forenses.
Isole a máquina e o ambiente de backup da rede imediatamente
O primeiro movimento é físico: desconecte da rede todos os dispositivos afetados e os que estão conectados ao ambiente de backup — servidores, NAS, storages, estações de trabalho com mapeamento de rede. Se o ransomware ainda estiver em execução, cada segundo de conectividade amplia o raio de criptografia. Desligue os switches de acesso ao segmento afetado se não for possível identificar todos os hosts comprometidos individualmente. Em ambientes com backup em nuvem sincronizado automaticamente, suspenda a sincronização antes que arquivos criptografados substituam versões limpas nos servidores remotos.
Não reinicie, não formate e não pague o resgate antes de avaliar as opções
Reiniciar o sistema pode destruir artefatos voláteis na memória RAM — incluindo, em alguns casos, fragmentos da chave de criptografia que o ransomware ainda não gravou em disco. Formatar qualquer volume afetado é irreversível do ponto de vista forense. Quanto ao pagamento do resgate: além do risco óbvio de não receber a chave, há casos documentados em que a chave fornecida pelos atacantes descriptografa apenas parcialmente os arquivos ou introduz novos danos. O pagamento deve ser a última opção avaliada, nunca a primeira reação.
Documente tudo: extensões dos arquivos, notas de resgate e logs do sistema
Antes de qualquer intervenção técnica, fotografe ou capture as telas com as extensões adicionadas aos arquivos criptografados (ex.: .locked, .ryuk, .onion), o conteúdo completo da nota de resgate (geralmente um arquivo .txt ou .html na raiz dos diretórios afetados) e os logs de eventos do sistema operacional. Essas informações são essenciais para identificar a variante do ransomware — o que, como veremos adiante, pode abrir caminhos de descriptografia gratuita. Guarde também os hashes dos arquivos criptografados se possível; laboratórios forenses utilizam essas informações para cruzar com bases de dados de ataques conhecidos.
Opções reais de recuperação quando o backup foi criptografado
A perda do backup não elimina todas as alternativas. Existe um conjunto de caminhos técnicos que precisam ser avaliados em ordem de risco e custo crescentes, sempre com a premissa de não piorar o estado atual dos dados.
Verificar se existem snapshots imutáveis ou versões anteriores intactas
Soluções de backup modernas — Veeam, Acronis, Commvault, Zerto — suportam snapshots imutáveis (immutable backups), nos quais os dados gravados não podem ser alterados ou excluídos por um período determinado, mesmo por um processo com credenciais de administrador. Se sua infraestrutura utiliza esse recurso, os snapshots anteriores à janela de infecção podem estar intactos. Verifique também repositórios em object storage com Object Lock habilitado (S3, Wasabi, Backblaze B2) — o modelo WORM (Write Once, Read Many) é projetado exatamente para resistir a esse tipo de ataque.
Consultar ferramentas de descriptografia gratuitas (No More Ransom Project)
O No More Ransom Project (nomoreransom.org), iniciativa conjunta da Europol, Interpol e empresas de segurança como Kaspersky e McAfee, disponibiliza gratuitamente ferramentas de descriptografia para dezenas de variantes de ransomware cujas chaves foram obtidas em operações policiais ou por análise reversa do malware. Antes de qualquer outro passo mais invasivo, envie uma amostra de arquivo criptografado ao portal para verificar se existe descriptografador disponível. Esse passo não custa nada e pode resolver o problema inteiramente.
Recuperação forense de dados: o que laboratórios especializados conseguem fazer
Quando não há descriptografador público disponível e os backups estão comprometidos, laboratórios especializados em recuperação de dados entram em cena com uma abordagem diferente da descriptografia convencional. Em vez de tentar reverter a criptografia pela chave, técnicos forenses trabalham em camadas mais baixas do sistema de arquivos — recuperando fragmentos não sobrescritos, arquivos parcialmente criptografados (onde o ransomware interrompeu o processo por falha ou interrupção de energia) e metadados de sistema que permitem reconstruir estruturas de diretório. A Security Recovery, com mais de 20 anos de experiência e mais de 170.000 casos analisados, opera nessa frente com laboratório ISO-5 Classe 100 e ferramentas como PC-3000, R-Studio e UFS Explorer, além de algoritmos proprietários desenvolvidos internamente para casos de criptografia.
Shadow Copies e Volume Shadow Copy Service (VSS): ainda podem estar disponíveis?
O VSS do Windows cria cópias de sombra automáticas de volumes NTFS em determinados eventos do sistema. Muitas variantes modernas de ransomware executam comandos como vssadmin delete shadows /all ou wmic shadowcopy delete para eliminar essas cópias antes de iniciar a criptografia — mas nem sempre com sucesso total. Se o ataque foi interrompido antes da conclusão, se o sistema não tinha permissões suficientes para excluir os shadow copies, ou se o VSS estava configurado em um volume separado, pode haver cópias de versões anteriores acessíveis. Ferramentas como ShadowExplorer permitem navegar por essas cópias sem risco adicional.
Backups offline, fita magnética e cópias air-gapped: como verificar se existem
Pergunte à equipe de TI ou ao responsável pela infraestrutura: existe alguma cópia em mídia física desconectada da rede — fita LTO, HD externo guardado fora do ambiente, cópia em datacenter externo sem conectividade permanente? Muitas organizações mantêm rotinas de backup em fita que não são documentadas nos processos formais de segurança. Mesmo uma cópia com semanas de defasagem pode ser suficiente para restaurar a operação crítica.
Recuperação parcial de bancos de dados criptografados por ransomware
Bancos de dados como MySQL, SQL Server e Firebird têm estruturas internas que podem sobreviver parcialmente à criptografia, especialmente quando o ransomware criptografou o arquivo de dados mas não os logs de transação, ou quando a criptografia foi interrompida antes de atingir todos os blocos do arquivo. Laboratórios especializados conseguem, em alguns casos, extrair registros intactos de arquivos .mdf, .ibd ou .fdb parcialmente criptografados, reconstruindo tabelas críticas mesmo sem acesso à chave de descriptografia.
Como identificar a variante do ransomware e o que isso muda na recuperação
Identificar a cepa do ransomware não é apenas um exercício de curiosidade técnica — é uma etapa que pode determinar se existe ou não um caminho de descriptografia sem pagamento.
Ferramentas para identificar a cepa: ID Ransomware e similares
O serviço ID Ransomware (id-ransomware.malwarehunterteam.com) permite identificar a variante a partir do upload da nota de resgate e de uma amostra de arquivo criptografado. O resultado indica o nome da família do ransomware e, quando disponível, aponta diretamente para o descriptografador correspondente no repositório do No More Ransom. Outras ferramentas úteis para identificação incluem o Crypto Sheriff (também do No More Ransom) e análise manual das extensões e strings presentes na nota de resgate.
Variantes com chave de descriptografia pública já disponível
Famílias como Dharma, GandCrab (versões antigas), TeslaCrypt, Shade e várias outras já tiveram suas chaves mestras liberadas — seja por operações policiais que derrubaram a infraestrutura dos atacantes, seja por pesquisadores que quebraram a implementação criptográfica. Para essas variantes, a descriptografia é possível sem pagamento e sem laboratório especializado. A lista cresce constantemente à medida que autoridades internacionais desarticulam grupos de ransomware.
Variantes sem solução conhecida: o que fazer enquanto aguarda
Para variantes recentes como LockBit 3.0, BlackCat/ALPHV, Cl0p ou Akira, frequentemente não existe descriptografador público disponível no momento do ataque. Nesse cenário, a recomendação técnica é: preserve uma cópia dos arquivos criptografados em mídia offline. Chaves de descriptografia são liberadas retroativamente — às vezes meses ou anos depois do ataque original — quando grupos são desarticulados por autoridades. Organizações que guardaram os arquivos criptografados conseguiram recuperar dados anos após o incidente. Não descarte os arquivos criptografados achando que são inúteis.
Quando acionar um serviço profissional de recuperação de dados
Existe um ponto na linha de decisão em que tentar mais uma solução caseira passa a ser contraproducente. Identificar esse ponto é fundamental para não reduzir ainda mais as chances de recuperação.
O que empresas especializadas conseguem recuperar
Um laboratório com infraestrutura forense adequada consegue atuar em camadas que softwares de uso geral não alcançam: recuperação de dados em setores não sobrescritos do disco após criptografia parcial, extração de fragmentos de arquivos via carving em sistemas de arquivos corrompidos, análise de logs de sistema para reconstruir a linha do tempo do ataque e identificar janelas de dados não afetados, e recuperação de estruturas de RAID desmontadas pelo ransomware. Em casos de ataques de ransomware em ambientes RAID ou NAS, a complexidade aumenta, mas as possibilidades técnicas também são maiores do que em discos simples.
Critérios para escolher um laboratório de recuperação confiável
Ao avaliar fornecedores, verifique:
- Sala limpa certificada (ISO-5 Classe 100 ou equivalente) para casos que envolvam abertura física de discos
- Diagnóstico técnico antes da cobrança — empresas sérias avaliam a viabilidade antes de comprometer o cliente financeiramente
- NDA e política de sigilo documentada, especialmente relevante para dados médicos, jurídicos e financeiros
- Relatório técnico da causa e validação dos dados recuperados antes da entrega
- Histórico verificável de casos — volume de casos analisados e taxa de êxito declarada com metodologia transparente
Para entender melhor os custos envolvidos nesse tipo de serviço em ambientes corporativos, consulte nosso artigo sobre quanto custa recuperar dados de um servidor RAID empresarial.
Custos realistas e expectativas de sucesso na recuperação profissional
Os custos variam significativamente conforme o tipo de mídia, a extensão da criptografia e a complexidade do ambiente. Casos em discos simples tendem a ser menos custosos do que recuperações em RAID ou NAS com múltiplos volumes afetados. A taxa de êxito depende diretamente do diagnóstico técnico — qualquer empresa que prometa 100% de sucesso antes de avaliar o caso deve ser tratada com ceticismo. A Security Recovery, por exemplo, declara 97% de êxito em casos considerados viáveis após diagnóstico — o que significa que há casos em que a recuperação não é tecnicamente possível, e essa honestidade é parte do diferencial de um laboratório sério.
Por que o backup foi criptografado junto com os dados principais?
Entender a causa da falha é tão importante quanto tentar a recuperação — sem esse diagnóstico, o próximo backup sofrerá o mesmo destino.
Backups mapeados como unidade de rede: o erro mais comum
O cenário mais frequente é simples: o destino do backup está mapeado como unidade de rede acessível a partir das estações de trabalho ou do servidor comprometido. Quando o ransomware começa a varrer o sistema de arquivos, ele percorre todas as letras de unidade mapeadas — incluindo o Z:\ que aponta para o NAS com os backups. Para o malware, não há diferença entre um diretório local e um compartilhamento de rede mapeado. Backups acessíveis permanentemente pela rede são, na prática, uma extensão dos dados principais.
Agentes de backup com credenciais comprometidas
Em ambientes corporativos, os agentes de backup frequentemente rodam com credenciais de serviço com privilégios elevados. Se essas credenciais foram comprometidas — por phishing, por reutilização de senha ou por movimento lateral do atacante dentro da rede — o ransomware pode autenticar-se diretamente nos repositórios de backup e criptografá-los com as mesmas permissões que o agente legítimo utilizaria para escrever dados.
Ransomware com tempo de espera (dwell time) que contamina backups agendados
Variantes sofisticadas de ransomware permanecem dormentes na rede por dias ou semanas antes de ativar a criptografia — uma técnica conhecida como dwell time. Durante esse período, o malware observa a infraestrutura, mapeia os destinos de backup e aguarda que os backups agendados sobrescrevam versões limpas com versões já infectadas (mas ainda não criptografadas) dos arquivos. Quando a criptografia é finalmente ativada, os backups recentes já contêm os arquivos comprometidos. Esse comportamento é documentado em grupos como Ryuk e Conti, que historicamente aguardavam entre 2 e 4 semanas antes de acionar a criptografia.
Como reconstruir a operação mesmo sem recuperar todos os dados
Em alguns casos, a recuperação técnica será parcial. Isso não significa paralisia operacional indefinida — existe uma sequência lógica para retomar as funções críticas mesmo com perda parcial de dados.
Priorizar sistemas críticos e dados insubstituíveis na ordem de recuperação
Faça um mapeamento imediato: quais sistemas, se restaurados primeiro, desbloqueiam o maior volume de operação? Em clínicas, o prontuário eletrônico é prioritário. Em escritórios contábeis, os arquivos fiscais com prazos iminentes. Em indústrias, os sistemas de controle de produção. Dados insubstituíveis — aqueles sem nenhuma fonte alternativa — devem ter prioridade sobre dados que podem ser reconstruídos com esforço manual.
Reconstrução a partir de fontes alternativas: e-mails, PDFs enviados, registros em nuvem
Documentos enviados por e-mail existem nas caixas de saída dos remetentes e nas caixas de entrada dos destinatários — mesmo que o servidor interno esteja comprometido, provedores externos como Gmail ou Microsoft 365 frequentemente não foram afetados. Notas fiscais emitidas estão nos servidores da SEFAZ. Contratos assinados digitalmente existem nas plataformas de assinatura. Registros de transações financeiras existem nos extratos bancários. Esse processo é trabalhoso, mas permite reconstruir uma fração significativa do histórico operacional sem depender da recuperação técnica.
Comunicação com clientes, fornecedores e autoridades durante o incidente
A LGPD (Lei Geral de Proteção de Dados) exige notificação à ANPD em caso de incidente com dados pessoais que possa acarretar risco aos titulares — e o prazo é de até 72 horas após a ciência do incidente. Além da obrigação legal, comunicar proativamente clientes e fornecedores sobre o incidente e os prazos estimados de normalização reduz danos reputacionais e evita surpresas em obrigações contratuais. Envolva o departamento jurídico desde o início.
Como proteger os próximos backups para que isso nunca se repita
A reconstrução do ambiente de backup após um ataque é uma oportunidade de corrigir as vulnerabilidades estruturais que permitiram o comprometimento. Ignorar essa etapa é garantir a repetição do cenário.
A regra 3-2-1-1-0 explicada: por que a regra 3-2-1 clássica não é mais suficiente
A regra 3-2-1 tradicional — 3 cópias dos dados, em 2 mídias diferentes, com 1 cópia offsite — foi concebida antes de o ransomware se tornar uma ameaça sistêmica. Ela não protege contra ataques que comprometem todas as cópias conectadas simultaneamente. A evolução para a regra 3-2-1-1-0 adiciona duas camadas críticas:
- +1 cópia imutável (offline ou air-gapped): uma cópia que não pode ser modificada ou excluída por nenhum processo de rede — seja em fita LTO, seja em object storage com Object Lock, seja em mídia física desconectada permanentemente
- +0 erros verificados: todos os backups devem ser validados automaticamente após a gravação, com testes periódicos de restauração. Um backup que nunca foi testado é um backup cuja integridade é desconhecida
Além da regra em si, implemente segmentação de credenciais — o agente de backup deve ter permissão de escrita no repositório, mas as estações de trabalho e servidores de aplicação nunca devem ter acesso direto ao destino de backup. Repositórios de backup devem ser tratados como zonas de segurança elevada, inacessíveis lateralmente na rede. Para ambientes com NAS ou storage corporativo, a separação entre a rede de produção e a rede de backup é uma das medidas de maior impacto na resistência a ataques de ransomware — e vale revisar como storages corporativos diferem de soluções domésticas nesse contexto.
Por fim, implemente autenticação multifator para todos os acessos aos consoles de gerenciamento de backup e revise periodicamente as permissões das contas de serviço. A maioria dos ataques bem-sucedidos a ambientes de backup não explora vulnerabilidades técnicas sofisticadas — explora configurações permissivas que nunca foram revisadas após a implantação inicial.
