Блог директора
Масштабная кибератака: часть 1
Пострадал холдинг с предприятиями в разных городах России
Использовалось всё:
- огромный парк носителей зашифровали шифровальщики-вымогатели
- часть носителей обнулили
- с несколькими серверными RAID-массивами проделали примерно одно и то же
Около месяца на предприятии шло расследование силами «Лаборатории Касперского»
Только после этого началось восстановление жизненно важной информации
Мы получили диски от трёх серверов из трёх разных городов
Здесь расскажу о первом. Как оказалось, самом простом
RAID 6 из 11 дисков + запасной диск для замены вышедшего из строя
Напоминаю: RAID 6 имеет избыточность в два HDD. Контрольные суммы распределены по всем дискам, поэтому массив способен работать при выпадении любых двух HDD
Что здесь наделали:
- удалили LUN с файловой системой BTRFS
- удалили сам массив
- на всех 12 дисках собрали RAID 5 с избыточностью в один HDD
При сборке нового массива контрольные суммы циклически записываются по всем дискам
Узор этих сумм в RAID 6 из 11 HDD и RAID 5 из 12 HDD не совпадает
В результате новые контрольные суммы уничтожили примерно каждый 12-й блок по всему пространству массива
Блоки маленькие, поэтому ничего целого «в лоб» не достать
Разрушенные блоки можно пересчитать из остальных. Избыточности RAID 6 для этого достаточно
Но готовых средств для таких задач не существует
Пришлось повозиться
К счастью, всё получилось
Данные восстановлены полностью
В следующей части – второй сервер. Там всё оказалось сложнее
