Recuperare file Veeam VBK Corrotti da Attacco Ransomware o da Volumi di backup danneggiati

Veeam è uno straordinario software specializzato per il backup delle virtual machine, concepito per ottimizzare tanto lo spazio allocato dai backup stessi tanto per eseguire restore rapidi in un contesto di backup differenziali ed incrementali.

Come funzionano i Backup Veeam internamente

Veeam File Header

Ogni File Veeam è costituito da un header principale, e sessioni di metadati replicate.

La funzione dell'header è quella di classificare il tipo di file ed i parametri di base del volume,  come la dimensione dei blocchi dati utilizzati o il metodo ci compressione o se il file è associato ad altri oggetti veeam.

Il secondo elemento metadati, ( il più importante ) è lo snapshot.

Lo snapshot è fondamentale nei file veeam, e ha la funzione essenziale di manutenere la mappatura e le posizioni degli slots, un gruppo di metadati all'interno dei quali vengono memorizzate le fondamentali sequenze di "Metadata Blobs".

Lo snapshot viene replicato internamente con un backup secondario contestualmente tutte le informazioni presenti sugli slots.

Veeam File Metadata Slot

Gli slots sono sequenze di metadata di tipologia eterogenea e possono contenere:

• Root Records
• Directories e definizioni di File
• Metadata Blobs
• Metadata Descriptors

La mappatura dei metadati veeam

I backup Veeam sono concepiti con un sistema di tipo tree in un file system concept proprietario in cui metadati vengono distribuiti con questo metodo:

1. Pages
2. Slots 

Per accedere ad una pagina specifica è semplicemente usato il metodo:

offset = slotoffset + ( page * pagesize)   

Come viene gestita l'integrità del Backup Veeam

Ogni Slot definito nello snapshot viene controllato da un CRC specifico per garantirne l'integrità.

Una semplice alterazione di un byte nella zona metadati invalida la qualità dello snapshot o dello slot.

Ogni singolo Chunk di Dati è controllato da hash deduplicato nel BlockStore e nei Descrittori del File oltre un CRC on board localizzato nel chunk stesso.

Cosa avviene in caso di corruzione del Backup

Un backup veeam benchè concepito in modo straordinario è molto delicato, una piccola alterazione dell'header, per esempio puo' portare alla inutilizzabilità di tutto il file, mentre una corruzione degli slots ha la possibilità di essere gestita con le posizioni interne di backup.

Cosa Avviene in caso di corruzione dei metadati

All instances of the storage metadata are corrupted.
--tr:Failed to load metastore
--tr:Failed to load key sets metadata.
Failed to load storage key sets.
--tr:Failed to retrieve key sets from encrypted storage.

Cosa Avviene in caso di corruzione parziale dei blocchi compressi

E possibile che per una copia parziale del file veeam .vbk, una corruzione di settori in un NAS o fallimento di scrittura generico possano portare ad una corruzione dei Chunk Dati, ed in questi casi, durante l'analisi o l'estrazione del Backup il processo possa interrompersi eprovocare la perdita di una intera macchina virtuale.

In questa errore del veeam extractor è evidende che la corruzione di un data chunk ha interrotto il processo di estrazione di una intera macchina vmware. 

--tr:Failed to compress data block [original size: 1048576, digest: 42b020157f229458b93956ab2951139f, key: n/a, compression: 7, buffer size: 992300]. Target compression: [-1]

Statistiche interne e casi di Data Recovery di Veeam

E' comune che in tutti i casi di sabotaggio,attacco informatico, Raid crash di Ambienti Server i file Veeam fossero identificati come la risorsa migliore per produrre "Disaster Recovery", ma fino ad oggi anche una leggera corruzione di un file .vbk ha impedito il recovery dei dati, essendo Veeam una piattaforma proprietaria.

In tutti i casi di attacco ransomware su file Veeam fino ad oggi non è mai stato possibile utilizzarli, anche se la corruzione avesse avuto un impatto sul file di dimensioni relative.

... fino ad oggi.

La nascita del VBK Studio ( Veeam Data Recovery Framework )

I nostri tecnici hanno speso mesi per comparare decine di casi di attacco ransomware e per identificare le strutture essenziali al recovery dei file veeam corrotti.

Il risultato è una piattaforma di analisi completa in grado di diagnosticare e recuperare dati da backup veeam anche con una corruzione complessiva dell'90%.

Esempio Operativo, Veeam Backup Estratto da NAS Qnap Colpito da Attacco Ransomware

Nel caso specifico, un attacco ransomware ha colpito con efficacia uno storage QNAP Utilizzato per il salvataggio dei backup differenziali veeam. L'impatto sui file ha generato una corruzione severa degli slots.

In questo caso una estrazione utilizzando i tool integrati in veeam non risulta essere possibile, in quanto la maggior parte degli slots risulta essere corrotta/sovrascritta.

Nello specifico è importante valutare la consistenza Della Tabella Metadata Slots.

Come facilmente intuibile si è verificata una corruzione molto elevata.

All instances of the storage metadata are corrupted.

La valutazione del Blockstore è molto interessante in quanto una notevole sequenza di blocchi è ancora disponibile per l'estrazione.

Il Software inotre fornisce visualmente informazioni sui chunks estratti dal BlockStore in tempo reale.  

Se desideri provare gratuitamente vbkstudio puoi scaricarlo direttamente qui.

Apertura ed Analisi di una Virtual Machine corrotta in un Backup Veeam Corrotto da Attacco Ransomware

Con Un blockstore parzialmente recuperabile ed una parte di metadati disponibile è possibile accedere alle Virtual Machine contenute nel backup, estrarne i descrittori e recuperare la VM compatibilmente con il livello di corruzione.

In basso a destra sono evidenziali i blocchi recuperabili rispetto alla condizione di integrità. Nel caso specifico E' disponibile un dataset pari al solo 1% della Virtual Machine Presente nel Backup Veeam.

Nonostante sia stato analizzato un file con una corruzione pressochè totale è stato possibile analizzare file e cartelle e produrre una estrazione parziale dei dati.

Conclusioni e Valutazioni Finali.

I File Veeam sono progettati con un incredibile sistema di gestione dei metadati, che consente il restore anche in caso di corruzione severa dei set di backup. La gestione basata su chunk a dimensione fissa con CRC e hash indipendenti offre incredibili possibilità di recovery e di analisi forense anche in caso di corruzione pressochè totale del dataset di backup.