Servidores · bancos de dados · máquinas virtuais
Recuperação de dados após ataque de ransomware
Na maior parte dos casos é possível recuperar sem pagar o resgate. A viabilidade é confirmada no diagnóstico, em laboratório próprio.
- 0+ anosde atuação
- 0casos analisados
- 0%de êxito em casos viáveis
- Laboratório Classe 100
- NDA e sigilo
- Laudo técnico
- Atendimento nacional
Por Caio Bruno Garcia, CEO e responsável técnico da SECURITY · 24 de outubro de 2026
O ransomware raramente destrói tudo
Para agir rápido, a maioria das famílias criptografa só o início de cada arquivo grande e não alcança o que estava desconectado ou em camadas que o sistema não expõe. É nesse resto que o laboratório trabalha.
Arquivos parcialmente criptografados
Bancos de dados, discos de VM (VMDK, VHDX, QCOW2) e arquivos de servidor com cabeçalho atingido, mas conteúdo preservado.
Cópias que o ataque não enxergou
Snapshots do storage, cópias de sombra (VSS), backups offline ou imutáveis, replicação para outro site.
Estruturas internas dos sistemas
Logs de transação (SQL Server, MySQL, PostgreSQL, Oracle, Firebird), journal do sistema de arquivos e áreas não alocadas.
Falhas do próprio malware
Erros de implementação, chaves recuperáveis em memória ou decryptors já publicados para a família identificada.
O que acontece com um arquivo grande
Exemplo de um disco virtual de 500 GB atingido por uma família que criptografa só o começo do arquivo.
A proporção varia por família e por tamanho do arquivo. É o diagnóstico que mede o que sobrou.
O que NÃO fazer depois do ataque
Quase toda perda definitiva que chega ao laboratório aconteceu depois do ataque, na tentativa de resolver.
- Não formate nem reinstale o sistema no mesmo disco ou LUN. A reinstalação sobrescreve as áreas de onde os dados seriam recuperados.
- Não execute CHKDSK, fsck ou reparo de volume em discos criptografados. A ferramenta “corrige” o que não entende e apaga o que restava.
- Não restaure o backup por cima do ambiente infectado sem confirmar que o backup está íntegro e que o invasor saiu.
- Não deixe o antivírus “limpar” tudo antes de guardar a nota de resgate e amostras de arquivos. Elas identificam a família.
- Não teste decryptors genéricos na única cópia dos dados. Teste sempre em cópia.
- Não pague o resgate antes da análise. Pagar não garante a chave, nem que ela funcione, nem que o invasor saia.
O que fazer nas primeiras horas
- Isolar da rede sem desligar à força: cabo, Wi-Fi e VPN fora, máquinas ligadas. Chaves podem estar na memória.
- Guardar a nota de resgate e dois ou três arquivos criptografados de amostra, com o original se houver.
- Listar o que foi atingido: servidores, VMs, bancos, backups, a extensão dos arquivos e o horário do ataque.
- Acionar quem precisa saber: o laboratório, o jurídico ou DPO e, se houver apólice, a seguradora. Guia dos primeiros passos.
O que determina se a recuperação é viável
Não existe uma resposta única para ransomware. O caminho depende do que o ataque deixou para trás, e é isso que o diagnóstico mede em cada cenário.
Chave vazada ou falha conhecida na criptografia. O decryptor é testado em cópia e o resultado é validado antes da entrega.
O backup é conferido antes de voltar ao ar. O intervalo entre o último backup e o ataque é buscado nos logs de transação e nas cópias de sombra.
Caminho mais trabalhoso: trechos íntegros dos arquivos, snapshots do storage, áreas não alocadas e versões anteriores. A viabilidade depende do que foi sobrescrito depois do ataque.
Comum em arquivos grandes (VMDK, VHDX, MDF, IBD). O cabeçalho é atingido e o conteúdo fica; a reconstrução remonta o arquivo a partir da estrutura interna.
Por que isolar antes de restaurar
Os caminhos de entrada mais comuns continuam abertos depois da criptografia.
- Acesso remoto exposto (RDP, VNC) com senha fraca ou sem segundo fator.
- Phishing com anexo ou link que entrega o acesso inicial.
- VPN ou firewall sem atualização, com vulnerabilidade já conhecida.
- Credenciais vazadas ou reutilizadas, inclusive de fornecedores com acesso à rede.
Enquanto a porta não é fechada, restaurar é recomeçar o ataque. Por isso a análise do laboratório é feita em cópia, fora do ambiente comprometido.
O que reduz a chance: formatação, reinstalação, CHKDSK e restauração por cima. O que aumenta: ambiente isolado e discos preservados como estavam.
Como recuperamos dados após ransomware
- 1PreservaçãoCópia bit a bit de cada disco, LUN ou arquivo de VM. Nada é feito na mídia original.
- 2IdentificaçãoFamília, extensão, nota de resgate e padrão de criptografia. Define os caminhos possíveis.
- 3LevantamentoSnapshots, VSS, backups, logs de transação, áreas não alocadas e trechos íntegros.
- 4ReconstruçãoRemontagem de discos virtuais, bancos e volumes. Sala limpa ISO-5 quando há dano físico.
- 5Validação e entregaDados abertos e conferidos antes da entrega, com relação do recuperado e relatório da causa.
Todo caso corre sob NDA. O prazo é definido no diagnóstico e informado por escrito, cenário por cenário.
Como funciona do primeiro contato à entrega
Nenhum trabalho de recuperação começa sem diagnóstico e sem proposta por escrito.
- 1ContatoWhatsApp ou formulário. Conte os sistemas atingidos, a extensão dos arquivos e se há backup.
- 2DiagnósticoEm laboratório, em cópia. Identifica a família e mede o que restou para recuperar.
- 3Proposta por escritoEscopo, prazo e valor, cenário por cenário, antes de qualquer recuperação.
- 4RecuperaçãoReconstrução em laboratório, com a mídia original preservada e sob NDA.
- 5Conferência e entregaDados abertos e validados, relação do recuperado e relatório técnico da causa.
Empresas fora de São Paulo enviam os discos ou servidores com orientação de embalagem e rastreamento. Quanto tempo leva a recuperação.
O que atendemos
Cada cenário tem um caminho de recuperação diferente. O diagnóstico define qual se aplica ao seu caso.
Servidor de arquivos criptografado
Trechos íntegros dos arquivos, cópias de sombra, journal e versões em áreas não alocadas. Como funciona.
Banco de dados criptografado ou corrompido
Arquivos de dados e logs de transação, com reconstrução de tabelas.
Máquinas virtuais
Discos virtuais parcialmente criptografados, snapshots, datastore e metadados do hipervisor.
Storage ou RAID de servidor atingido
Snapshots do storage, reconstrução do arranjo RAID e extração dos volumes.
Backup também criptografado
Versões anteriores, cópias offline e mídias de rotação que o ataque não alcançou. Ainda existe saída?
Outro cenário?
Ambientes híbridos, NAS corporativo, servidor de e-mail e ERP também passam pelo mesmo diagnóstico.
O que a recuperação precisa considerar
Quando o ataque atinge dados pessoais, ele é um incidente de segurança. A recuperação precisa andar junto com o que a lei, a seguradora e a investigação exigem.
para comunicar a ANPD e os titulares, conforme a regulamentação da autoridade.
O que a SECURITY entrega
- Relatório técnico com a causa da falha
- Relação do que foi recuperado
- Validação dos dados antes da entrega
Mídia e dados protegidos
- Atendimento sob NDA
- Trabalho feito em cópia, com a mídia original preservada
- Sigilo para casos jurídicos, médicos e corporativos
O que a LGPD pede do controlador
- Avaliar se o incidente traz risco relevante aos titulares
- Comunicar a ANPD e os titulares quando houver esse risco
- Registrar o incidente e as medidas tomadas, mesmo quando não há comunicação
Se a empresa tem apólice
- Acione a seguradora no início: apólices costumam ter prazo curto de aviso
- Guarde a nota de resgate, amostras e o registro do que foi feito
- O relatório técnico e a relação do recuperado entram na documentação do sinistro
Recuperação e perícia em paralelo
- A mídia original não é alterada pelo laboratório
- A recuperação não espera o fim da investigação
- O relatório da causa serve ao jurídico e à comunicação com a ANPD
Perguntas frequentes sobre ransomware
É possível recuperar os dados sem pagar o resgate?
Sim. Em grande parte dos casos a recuperação vem do que o ataque não alcançou ou não concluiu: snapshots, logs, backups e trechos íntegros dos arquivos. A viabilidade é confirmada no diagnóstico.
Pagar o resgate garante os dados de volta?
Não. Não há garantia de receber a chave, de a chave funcionar em todos os arquivos nem de o invasor sair do ambiente. Por isso a análise vem antes de qualquer decisão sobre pagamento.
Vocês descriptografam qualquer ransomware?
Não. Famílias com criptografia bem implementada e sem chave conhecida não são quebradas. Nesses casos a recuperação vem das outras camadas: cópias, snapshots, logs e partes não criptografadas.
A análise atrapalha uma investigação posterior?
Não. O trabalho é feito em cópia bit a bit e a mídia original fica preservada. A recuperação pode correr em paralelo à perícia.
Minha empresa fica fora de São Paulo. Como funciona?
Sim, atendemos todo o Brasil. Os discos ou servidores são enviados com orientação de embalagem e rastreamento, e o diagnóstico é feito no laboratório.
Quanto tempo leva?
Depende do cenário e do volume de dados. O prazo é informado por escrito no diagnóstico, antes de iniciar a recuperação.
A máquina virtual não inicia depois do ataque. Tem solução?
Na maior parte dos casos o disco virtual (VMDK, VHDX, QCOW2) foi criptografado em parte ou o hipervisor perdeu os metadados. A recuperação trabalha no arquivo do disco e nos snapshots do datastore, não na VM ligada. Não tente iniciar repetidas vezes nem recriar a VM por cima do mesmo datastore.
Qual a diferença entre usar um decryptor e a recuperação em laboratório?
Decryptor só existe para famílias com chave conhecida ou falha publicada, e mesmo assim é testado em cópia. A recuperação em laboratório parte do que não foi criptografado: snapshots, logs de transação, trechos íntegros e backups. Os dois caminhos são avaliados no diagnóstico.
Dá para priorizar os sistemas críticos?
Sim. A ordem de análise é definida com a empresa no diagnóstico, a partir do que é mais urgente para a operação: ERP, banco de dados, e-mail ou servidor de arquivos.
E se o backup também foi criptografado?
Versões anteriores, cópias offline, mídias de rotação e snapshots que o ataque não alcançou são levantados no diagnóstico. Não restaure nada por cima antes dessa verificação. Leia o guia sobre backup atingido.
Guias do laboratório
Fale com um especialista em ransomware agora
Quanto antes o ambiente for preservado, mais há para recuperar. Envie o que você já sabe: sistemas atingidos, extensão dos arquivos e se há backup.
Especialistas disponíveis agora