Záchrana dat po ransomware z virtuálních a serverových prostředí patří mezi naše hlavní specializace. Obnovujeme data po útoku ransomwaru, hackera nebo jiného destruktivního malwaru – od hypervizorů Hyper-V a VMware vSphere / ESXi přes zálohy Veeam Backup & Replication až po NAS / SAN úložiště, Proxmox a Nutanix. Veškerá práce probíhá výhradně v naší certifikované a fyzicky zabezpečené laboratoři, s více než 35 lety zkušeností v oboru.
Virtuální infrastruktura se stala primárním cílem kybernetických útočníků bez ohledu na jejich motivaci. Napadení jediného hypervizoru umožňuje zašifrovat, smazat nebo jinak znehodnotit desítky či stovky virtuálních strojů najednou. Ransomware přitom představuje jen jeden z možných scénářů – vedle požadavků na výkupné se stále častěji setkáváme s čistě destruktivními útoky, jejichž cílem je maximální škoda: smazaná data, přeformátovaná úložiště, zničené zálohy.
Počáteční přístup útočníci získávají exploitací nezáplatovaných zranitelností (CVE v ESXi, OpenSLP, vCenter), kompromitací VPN nebo RDP, phishingem nebo útoky přes zranitelné zálohovací agenty. Po laterálním pohybu sítí a eskalaci oprávnění cílí zálohovací systémy – včetně Veeam repozitářů – záměrně jako první, aby eliminovali nejjednodušší cestu obnovy.
Sofistikované ransomware skupiny data před zašifrováním exfiltrují – hrozba je tedy dvojí: ztráta dostupnosti dat a jejich únik třetím stranám. Záchrana dat řeší dostupnost; forenzní analýza a právní kroky řeší únik. Obě roviny je nutné adresovat odděleně.
| Fáze | Aktivita útočníka | Viditelnost | Riziko |
|---|---|---|---|
| 1. Počáteční přístup | Exploit RDP, VPN, phishing, zranitelný vCenter / OpenSLP | Nízká | Kritické |
| 2. Perzistence | Backdoor, SSH klíč, deaktivace vícefaktorového ověřování | Minimální | Kritické |
| 3. Laterální pohyb | Průzkum sítě, eskalace oprávnění, kompromitace AD | Střední | Kritické |
| 4. Destrukce záloh | Smazání Veeam repozitářů, stínových kopií, přeformátování NAS | Nízká | Kritické |
| 5. Exfiltrace | Kopírování citlivých dat na infrastrukturu útočníka | Nízká | Kritické |
| 6. Šifrování nebo destrukce | Hromadné šifrování VMDK, VHDX; mazání dat; přeformátování svazků | Vysoká | Destruktivní |
Útočníci v prostředí ESXi nejprve zastavují běžící virtuální stroje příkazem
esxcli vm process kill, čímž uvolňují zámky na .vmdk discích.
V případě ransomwaru jsou soubory šifrovány in-place – původní datové bloky
zůstávají na médiu zachovány pod vrstvou šifrování a jsou za správných podmínek
obnovitelné. Destruktivní útoky naproti tomu svazky přeformátují nebo přepíší,
což obnovu dat zásadně komplikuje.
V prostředí Windows Hyper-V cílí útočníci na soubory .vhd
a .vhdx uložené na NTFS nebo SMB svazcích. Standardním krokem
před zahájením šifrování je eliminace stínových kopií (Volume Shadow Copies)
prostřednictvím vssadmin nebo wmic shadowcopy
a deaktivace Windows Server Backup – útočníci tak vědomě uzavírají
nejrychlejší cestu k obnově dat.
Zaplacení výkupného nezaručuje obnovu dat. Přibližně třetina obětí nedostane funkční dešifrovací klíč ani po zaplacení – a proběhlá exfiltrace dat zůstává faktem bez ohledu na to, zda útočník svůj závazek splní.
Ransomware šifruje data po celou dobu, kdy systém běží – každá sekunda prodlužuje rozsah škod. Napadené hostitele okamžitě vypněte. Čím dříve k vypnutí dojde, tím větší část dat zůstane nedotčena.
Záchrana dat po kybernetickém útoku na virtuální infrastrukturu vyžaduje specializované postupy – kontaktujte nás co nejdříve. Naše pohotovostní linka je dostupná nepřetržitě.
Kybernetický útok je trestný čin. Trestní oznámení podejte na Policii ČR. Pokud vám to legislativa nebo interní předpisy ukládají, ohlaste incident NÚKIB (nukib.gov.cz) nebo národnímu CSIRT týmu (csirt.cz). Hlášení může být relevantní rovněž z pohledu GDPR a pojistného plnění.
Každá virtualizační platforma se vyznačuje specifickou architekturou datových struktur, formáty virtuálních disků a mechanismy snapshotů a replikace. Záchranné postupy jsou vždy přizpůsobeny konkrétní technologii, verzi hypervizoru a charakteru útoku.
Virtuální disky ve formátu .vhd / .vhdx na NTFS nebo ReFS svazcích; snapshoty jako řetězce .avhd / .avhdx diferenciálních disků.
Virtuální stroje uloženy jako sada souborů na datastoru VMFS: -flat.vmdk (datový svazek), .vmdk (deskriptor), .vmx (konfigurace), -delta.vmdk / .sesparse (snapshoty).
Zálohovací soubory .vbk (plné zálohy), .vib / .vrb (inkrementální), řízené SQL databází VeeamBackup (MDF/LDF). Útočníci cílí na obě vrstvy záměrně.
Sdílená úložiště jsou pro útočníky atraktivním cílem – často obsahují jak provozní data, tak zálohy.
Proxmox VE ukládá VM jako qcow2 nebo raw obrazy na LVM, ZFS nebo Ceph RBD svazcích; LXC kontejnery jako adresářové stromy nebo ZFS datasety.
Nutanix ukládá VM disky jako vDisk objekty v distribuovaném úložišti AOS s nativní replikací a ochranou prostřednictvím Protection Domains.
Moderní ransomware kombinuje asymetrické šifrování (RSA-2048 až RSA-4096, Curve25519) se symetrickým (AES-256, ChaCha20). Dešifrování bez klíče útočníka není kryptograficky reálné. Záchrana dat proto nespoléhá na kryptoanalýzu, ale na analýzu datových struktur, souborových systémů, snapshotů a replikačních kopií – včetně remnantů v nealokovaném prostoru úložiště.
Výše uvedené platformy pokrývají drtivou většinu případů, s nimiž se setkáváme – záchrana dat po kybernetickém útoku je ale naší specializací bez ohledu na konkrétní technologii. Pracujeme s celým spektrem virtualizačních platforem, hypervizorů a storage systémů, včetně Citrix Hypervisor / XenServer, fyzických serverů, RAID polí a dalších prostředí.
Veškerá práce probíhá výhradně v naší certifikované a fyzicky zabezpečené laboratoři (ISO 9001, ISO 27001, Class 100 cleanroom) – data ani média nikdy nepředáváme subdodavatelům. Disponujeme vlastním výzkumem, vývojem nástrojů i kompletní záchrannou infrastrukturou. Tým vede zakladatel DATARECOVERY Vojtěch Kavan, který se forenzní záchraně dat věnuje od roku 1991 a specializuje se právě na forenzní analýzu a rekonstrukci virtuálních disků a souborových systémů napadených ransomwarem.
Po příjmu zařízení posoudíme možnosti a náročnost obnovy požadovaných dat – technologickou, časovou i finanční. Diagnostika v pracovní době je bezplatná. Svoz zařízení zajistíme bezplatně na vyžádání.
Záchrana dat probíhá výhradně na bitové kopii originálního úložiště. Originální média zůstávají nemodifikována a slouží jako forenzní důkaz pro případné trestní řízení.
Analýzou struktury zašifrovaných datových bloků, použitých algoritmů a systémových artefaktů identifikujeme konkrétní ransomware rodinu a verzi. Na základě toho volíme optimální strategii obnovy dat.
Provádíme hloubkovou analýzu souborových systémů (VMFS, NTFS, ReFS, ZFS, ext4, Btrfs), struktur virtuálních disků a zálohovacích souborů. Identifikujeme dostupné snapshoty, replikační kopie, diferenciální zálohy a remnantní data v nealokovaném prostoru úložiště – ověřujeme konzistenci každého potenciálního zdroje obnovy.
Záchrana zahrnuje rekonstrukci virtuálních disků, extrakci souborů a opravu poškozených metadat souborového systému. Výstupem je funkční virtuální stroj nebo souborový systém v co nejúplnější podobě, se zachováním původní adresářové struktury a atributů souborů.
Záchrana dat po kybernetickém útoku na virtuální infrastrukturu patří k nejnáročnějším případům v oboru – hloubková analýza může zahrnovat desítky až stovky hodin odborné práce. Náš platební model tuto skutečnost zohledňuje.
Diagnostika v pracovní době je zdarma. Posoudíme možnosti a náročnost obnovy a předložíme cenovou nabídku.
U komplexních případů účtujeme nevratný poplatek za hloubkovou analýzu, jejíž rozsah může dosáhnout desítek až stovek hodin práce. Jeho výše je domluvena předem jako součást cenové nabídky.
Za záchranu dat platíte pouze v případě úspěšné obnovy. Výše odměny je součástí cenové nabídky po diagnostice.
Diagnostika i záchrana dat jsou dostupné nepřetržitě v expresním režimu. Podmínky a dostupnost konzultujte přímo s naší laboratoří.
Identifikace ransomware rodiny zásadně ovlivňuje volbu strategie obnovy dat. Níže uvádíme přehled skupin, s jejichž aktivitami se nejčastěji setkáváme.
| Rodina | Primární cíle | Šifrování | Poznámky |
|---|---|---|---|
| Akira | ESXi, Hyper-V, Veeam | ChaCha20 + RSA-4096 | Aktivní od 2023, cílí na SMB i enterprise. Přípona .akira. |
| BlackCat / ALPHV | ESXi, vCenter, NAS | AES-256 + RSA-2048 | Napsán v Rust, specializovaná varianta pro ESXi/Linux. |
| LockBit 3.0 | ESXi, Hyper-V, AD | AES + RSA hybrid | Jeden z nejrozšířenějších. Verze 3.0 má ESXi-specifický modul. |
| Royal / BlackSuit | ESXi, Windows Server | AES-256 CBC | Vysoké výkupné, cílí na zdravotnictví a kritickou infrastrukturu. |
| Rhysida | Hyper-V, Veeam | RSA-4096 + AES-256 | Cílí na veřejný sektor a zdravotnictví. |
| Play | ESXi, Veeam | AES-256 + RSA | Aktivně zneužívá zranitelnosti zálohovacích agentů. |
| ESXiArgs | ESXi (OpenSLP CVE) | Sosemanuk | Masivní kampaň 2023, cílil na nezáplatované ESXi hostitele. |
Úspěšná záchrana dat je teprve začátek. Bez systémových opatření hrozí opakování incidentu – útočníci se do kompromitované sítě pravidelně vracejí. Níže jsou klíčová doporučení specifická pro virtuální infrastrukturu.
Tři kopie dat, na dvou různých médiích, jedna mimo lokalitu a jedna offline nebo immutable – Veeam Hardened Repository na Hardened Linux, object storage s WORM politikou nebo tape. Immutable úložiště musí být síťově izolováno od produkčního prostředí.
Zranitelnosti ESXi a vCenter jsou aktivně exploitovány v řádu dnů od zveřejnění CVE. Nastavte patch cycle s maximální latencí 30 dní od vydání; pro kritické zranitelnosti (CVSS ≥ 9.0) bezodkladně.
Vícefaktorové ověřování je povinné pro vCenter, Veeam konzoli a VPN. Administrace hypervizorů by měla probíhat výhradně z dedikované Privileged Access Workstation (PAW), síťově oddělené od uživatelské sítě. Přímý SSH přístup na ESXi hostitele zakažte, pokud není nezbytný.
Management síť hypervizorů musí být striktně oddělena od produkční a uživatelské sítě – ideálně fyzicky nebo prostřednictvím dedikovaných VLAN s ACL. Žádné VM by nemělo mít přímý přístup k ESXi management rozhraní ani k Veeam zálohovacím serverům.
Centralizujte logy ESXi hostitelů (hostd, vpxa, esxcli) do SIEM. Alertujte na neobvyklé hromadné vypínání VM, neočekávané změny firewall pravidel, masivní přístup k VMDK souborům a neautorizované SSH přihlášení. Na Veeam a Hyper-V serverech nasaďte EDR.
Zálohovací strategie bez pravidelně testované obnovy je pouze teorií. Ověřte reálné RPO a RTO v podmínkách blízkých skutečnému incidentu. Zdokumentujte a nacvičte postup reakce na kybernetický incident – včetně eskalační matice a komunikačního plánu.
V mnoha případech ano – závisí na konkrétní ransomware rodině, dostupnosti snapshotů nebo replikačních kopií pořízených před útokem a celkovém stavu zálohovací infrastruktury. Každý případ vyžaduje individuální analýzu; přesný odhad poskytneme po diagnostice.
Závisí na rozsahu infrastruktury, objemu dat a závažnosti útoku. Obnova z platného snapshotu nebo replikační kopie může trvat hodiny; hloubková forenzní rekonstrukce rozsáhlého datastoru dny. Konkrétní odhad poskytneme po diagnostice. Pro nejnaléhavější případy je k dispozici expresní zpracování s nepřetržitým provozem.
Útok na zálohovací server útočníci provádějí záměrně jako první krok – jde o nejzávažnější scénář, nikoli však nutně o beznadějný. Analýza zálohovacích souborů na úrovni raw bloků může odhalit nezašifrované datové vrstvy nebo starší přírůstky. Pokud byl repozitář nastaven jako immutable (Veeam Hardened Repository) nebo Scale-Out Backup Repository s capacity tier v cloud storage s WORM politikou, část dat může být dosud nedotčena. Klíčové je okamžitě zastavit veškeré zápisy na napadená úložiště a kontaktovat nás co nejdříve.
Správně nakonfigurovaný Veeam Hardened Repository (Linux s immutability flag) poskytuje velmi vysokou úroveň ochrany – soubory s platnou immutability lhůtou nelze smazat ani přepsat ani s root přístupem. Podmínkou jsou Single-Use Credentials pro zálohovací účet, síťová izolace repozitáře, absence přímého SSH přístupu ke storage účtu a aktualizovaný OS. Pokud tyto podmínky splňujete a immutability lhůta je dosud platná, vaše zálohy jsou před ransomwarem chráněny.
Ano, veškerá záchrana dat probíhá výhradně v naší laboratoři. Svoz zařízení zajistíme bezplatně; v naléhavých případech je možné doručení osobně. Kontaktujte nás a domluvíme nejrychlejší způsob předání.
Úspěšnost obnovy dat po ransomware útoku u nás přesahuje 98 %; u podnikových systémů jsme dosud uspěli ve všech případech. Rozhodující faktory jsou dostupnost snapshotů nebo replikace z doby před útokem, stav zálohovacích úložišť a rychlost, s jakou dojde k vypnutí napadených systémů. Přesný odhad pro konkrétní případ poskytneme po diagnostice.
Kontaktujte nás ihned. Prvotní konzultaci a odhad provedeme zdarma a bez závazků. Jsme dostupní 24 hodin denně, 7 dní v týdnu včetně státních svátků.