Recuperação de Ataque de Ransomware

Quando Usar

• Após o ransomware ter criptografado sistemas de produção e a decisão de recuperar a partir de backups ter sido tomada
• Ao construir ou validar um runbook de recuperação de ransomware antes de um incidente real
• Após receber uma chave de descriptografia (ransom pago ou fornecido pela aplicação da lei) e precisar descriptografar com segurança
• Quando a recuperação parcial é necessária ao lado da descriptografia dos sistemas restantes
• Realizando um exercício de recuperação para validar os compromissos de RTO (Tempo de Recuperação Objetivo)

Não use antes de completar a contenção e o escopo forense. A recuperação prematura sem entender os mecanismos de acesso e persistência do atacante arrisca a reinfeção.

Pré-requisitos

• Incidente declarado e fase de contenção concluída (todo acesso do atacante interrompido)
• Evidências forenses preservadas (imagens de disco, dumps de memória, capturas de rede)
• Integridade dos backups verificada (cópias imutáveis/air-gapped confirmadas como limpas)
• Mídia de instalação limpa disponível (mídia de instalação do sistema operacional, imagens "golden")
• Ambiente de recuperação preparado (segmento de rede limpo isolado da infraestrutura comprometida)
• Lista de prioridade de recuperação documentada (sistemas Tier 1/2/3 em ordem de dependência)

Fluxo de Trabalho

Passo 1: Estabelecer Ambiente de Recuperação Limpo

Construa a infraestrutura de recuperação isolada da rede comprometida:

# Create isolated recovery VLAN
# No connectivity to compromised network segments
# Dedicated internet access for patch downloads only (via proxy)

# Recovery network architecture:
# VLAN 999 (Recovery) - 10.99.0.0/24
#   - Recovery workstations (10.99.0.10-20)
#   - Recovered DCs (10.99.0.50-55)
#   - Recovered servers (10.99.0.100+)
#   - Proxy for internet (10.99.0.1) - patches and updates only

# Firewall rules: DENY all from recovery VLAN to production VLANs
# Allow: Recovery VLAN -> Internet (HTTPS only, via proxy)
# Allow: Recovery VLAN -> Backup infrastructure (restore traffic only)

Passo 2: Recuperar Primeiro a Infraestrutura de Identidade

O Active Directory deve ser recuperado antes de qualquer sistema ingressado no domínio:

# AD Recovery Procedure
# Step 2a: Restore AD from known-good backup
# Use DSRM (Directory Services Restore Mode) boot

# 1. Build clean Windows Server from ISO
# 2. Promote as DC using AD restore
# 3. Restore System State from immutable backup

# Verify AD backup is pre-compromise
# Check backup timestamp against earliest known compromise date
wbadmin get versions -backuptarget:E: -machine:DC01

# Restore system state in DSRM
wbadmin start systemstaterecovery -version:02/15/2026-04:00 -backuptarget:E: -machine:DC01 -quiet

# After restore, reset critical accounts
# Reset krbtgt password TWICE (invalidates all Kerberos tickets)
# This prevents Golden Ticket persistence
Import-Module ActiveDirectory
Set-ADAccountPassword -Identity krbtgt -Reset -NewPassword (ConvertTo-SecureString "NewKrbtgt2026!Complex#1" -AsPlainText -Force)
# Wait for replication (minimum 12 hours), then reset again
Set-ADAccountPassword -Identity krbtgt -Reset -NewPassword (ConvertTo-SecureString "NewKrbtgt2026!Complex#2" -AsPlainText -Force)

# Reset all privileged account passwords
$privilegedGroups = @("Domain Admins", "Enterprise Admins", "Schema Admins", "Administrators")
foreach ($group in $privilegedGroups) {
    Get-ADGroupMember -Identity $group -Recursive | ForEach-Object {
        Set-ADAccountPassword -Identity $_.SamAccountName -Reset `
            -NewPassword (ConvertTo-SecureString (New-Guid).Guid -AsPlainText -Force)
        Set-ADUser -Identity $_.SamAccountName -ChangePasswordAtLogon $true
    }
}

# Validate AD health
dcdiag /v /c /d /e /s:DC01
repadmin /showrepl

Passo 3: Validar Integridade do Backup Antes da Restauração

# Scan backup files for ransomware artifacts before restoring
# Use offline antivirus scanning on backup mount

# Mount backup as read-only
mount -o ro,noexec /dev/backup_lv /mnt/backup_verify

# Scan with ClamAV
clamscan -r --infected --log=/var/log/backup_scan.log /mnt/backup_verify

# Check for known ransomware indicators
find /mnt/backup_verify -name "*.encrypted" -o -name "*.locked" \
    -o -name "*.lockbit" -o -name "DECRYPT_*" -o -name "readme.txt" \
    -o -name "RECOVER-*" -o -name "HOW_TO_*" | tee /var/log/ransomware_check.log

# Verify database consistency (SQL Server example)
# Restore database to temporary instance for validation
RESTORE VERIFYONLY FROM DISK = '/mnt/backup_verify/databases/erp_db.bak'
    WITH CHECKSUM

Passo 4: Restaurar Sistemas em Ordem de Prioridade

…