Sauvetage d’une entreprise allemande et son serveur SAN

Nous avons été mandatés par le responsable informatique d’une entreprise d’ingénierie allemande pour récupérer ses données suite à une attaque par ransomware AKIRA majeure ayant paralysé sa production.

📋 Fiche Technique de l’Intervention

• Cible : Entreprise d’ingénierie (Secteur industriel)
• Infrastructure : SAN Dell Compellent SCv2020, Dell PowerEdge R730 / R730xd
• Environnement : ESXi, Windows NT4 (legacy), Oracle DB, Veeam Backup
• Défi technique : Sauvegardes Veeam effacées, disques SAS T10 PI, volumes dédupliqués
• Résultat : +90% de données récupérées (6 To utiles reconstitués)

Contexte et périmètre de l’intervention

Si le scénario initial laissait envisager une restauration standard (les machines virtuelles de production chiffrées et les sauvegardes Veeam associées étant théoriquement disponibles), la réalité terrain a rapidement révélé un niveau de complexité bien supérieur :

• Une infrastructure livrée brute : En raison de la destruction complète de son hyperviseur, le client a choisi de nous confier l’intégralité de sa baie de stockage plutôt que les seules Machines Virtuelles (VM) chiffrées. Si cette démarche optimise les chances globales de récupération, elle exige en contrepartie le remontage complet d’une infrastructure matérielle complète, tout en préservant scrupuleusement son intégrité à des fins forensiques.
• Des sauvegardes compromises : Les attaquants ont procédé à l’effacement des sauvegardes Veeam, doublé d’une réécriture partielle sur le volume afin de maximiser les dommages.
• Un contexte organisationnel mouvant : La cible, filiale d’un groupe français, se trouvait alors en pleine réorganisation de son infrastructure informatique et en phase de transition d’ERP, complexifiant grandement l’accès aux informations d’architecture.

La veille d’un jour férié, un cadre de l’entreprise nous a ainsi livré directement l’ensemble du matériel, composé de :

• Production / Hyperviseur : 2 serveurs Dell PowerEdge R730 (configuration redondée).
• Stockage : 1 SAN Dell Compellent SCv2020.
• Sauvegarde : 1 serveur Dell PowerEdge R730xd avec les sauvegardes Veeam

L’intervention ciblait portait sur une dizaine de VM mais prioritairement 4 VM critiques : 2 serveurs de fichiers et 2 serveurs applicatifs hébergeant des bases de données Oracle sous un environnement legacy Windows NT4.

Phase 1 : Sécurisation matérielle et traitement bas niveau

Dès nos premières analyses, nous avons détecté des erreurs physiques sur le matériel. Nous avons immédiatement sécurisé notre intervention en procédant à un clonage complet de l’infrastructure, une étape essentielle pour garantir une réversibilité totale (forensic, roll back) et permettre un retour à l’état initial de la baie en cas de besoin.

Cette phase a mis en lumière une spécificité technique importante : tous les disques SAS du SAN utilisaient une protection T10, connue sous le nom de Data Integrity Fields (ou T10 PI). Cette caractéristique a exigé l’utilisation d’outils uniques, indispensables pour interagir avec ces tailles de blocs non standards. Cette démarche s’est révélée cruciale : la moindre altération ou omission liée à la protection T10 aurait rendu les disques illisibles par le contrôleur de la baie d’origine, empêchant tout retour à l’état initial.

Phase 2 : Restauration logique et reconstruction des données

Une fois l’infrastructure sécurisée physiquement, nos ingénieurs ont entamé la phase de reconstruction logique, qui a nécessité une expertise approfondie face à plusieurs défis techniques majeurs :

• Rétablissement de l’accès aux volumes : L’hyperviseur d’origine ayant été détruit, nous avons restauré l’accès aux volumes en démarrant l’infrastructure sur un environnement ESXi tiers. Afin de garantir une sécurité absolue et de ne modifier aucun paramètre de la configuration client, ce démarrage a été opéré de manière isolée via un support physique bootable (CD/DVD), une méthode éprouvée (certains diront “ancienne”) garantissant la non-altération du système hôte. 
• La reconstruction post-réécriture : La réécriture partielle effectuée par les attaquants sur les volumes Veeam a fragmenté et altéré les données. Nos équipes ont mené un important travail de reconstruction et de réparation manuelle pour extraire les données résiduelles exploitables.
• Une volumétrie sous-estimée : Le serveur de fichiers prioritaire, initialement annoncé à 600 Go, s’est révélé contenir plus d’1,6 To de données utiles. Le traitement de cette masse de fichiers de tailles hétérogènes a requis une optimisation de nos files d’attente de calcul afin de limiter l’impact sur les délais de traitement
• L’interdépendance liée à la déduplication : L’activation de la déduplication de fichiers sur l’ensemble des VM a considérablement élevé le niveau de technicité de la restauration. Ce procédé fragmente chaque fichier en une multitude de tronçons partagés. En contexte de sinistre, cette architecture interconnectée implique qu’un seul bloc corrompu peut impacter plusieurs machines virtuelles. Nos experts ont dû opérer avec une précision chirurgicale pour préserver la cohérence logique des volumes dédupliqués.

Résultats obtenus

Les méthodologies avancées déployées par Recoveo ont permis de délivrer d’excellents résultats au regard de la sévérité de l’attaque :

• Serveurs de fichiers : Récupération et reconstruction complète de près de 6 To de données utiles (volume post-déduplication).
• Bases de données : Réparation et extraction réussie de la base de données Oracle, remontée à l’état exact précédant le crash.
• Environnement applicatif : Un seul des deux applicatifs legacy n’a pu être reconstitué, une limitation due à la structure intrinsèque du système de fichiers de Windows NT4 (HPFS/FAT), nettement moins résilient face à une corruption massive que le NTFS moderne.

Vous avez subi une attaque et une perte de données similaire sur vos serveurs SAN ?