Les success stories Databack : récupération de données sur HPE SimpliVity, une première !

Notre équipe Databack a récemment été confrontée à une mission de récupération de données sur une infrastructure hyperconvergée. Contactés par un cabinet d’expert partenaire de notre laboratoire, nous sommes intervenus auprès de leur client, une société ayant subi une attaque par ransomware sur leur système HPE SimpliVity.

HPE SimpliVity : hyperconvergence et résilience informatique

En 2017, Hewlett Packard Entreprise (HPE) propose HPE SimpliVity, une solution d’hyperconvergence destinée à doter les SI de l’agilité du cloud avec une gouvernance sur site, tout en réduisant les coûts d’exploitation. Selon le principe d’une architecture « hyperconvergée », il regroupe les ressources de calcul, de stockage et de mise en réseau du stockage (SAN) en un système unique (ou « nœud »), géré par VM (machine virtuelle).

Ce système intègre des fonctionnalités de sauvegarde et de protection, propres à accélérer les opérations de restauration des données. HPE SimpliVity permet ainsi une disponibilité haute, la mise en œuvre de PCA et PRA exigeants et une reprise rapide après sinistre. Comme toute infrastructure hyperconvergée, il est censé minimiser les interruptions d’activité et proposer une résilience informatique élevée en cas d’infection par ransomware…

Etude de cas : attaque par ransomware sur HPE SimpliVity

L’équipe Databack a pourtant été récemment sollicitée pour une opération de récupération de données sur HPE SimpliVity. Malgré la résistance et la résilience des infrastructures hyperconvergées, le SI d’une PME de l’Est de la France a en effet été sévèrement touché par une attaque par ransomware. Le responsable : LockBit 3.0, un des rançongiciels les plus actifs du moment, d’origine russe et disponible en version RaaS (Ransomware as a service).

L’infrastructure de production HPE SimpliVity de la PME était alors composé de 4 nœuds synchronisés (ou infrastructures hyperconvergées). L’entreprise disposait en outre d’un serveur de sauvegarde géré par la solution Veeam Backup & Replication, conçu pour sécuriser les données des infrastructures virtuelles et assurer la continuité d’activité.

Et malgré la solidité de son SI, l’entreprise a vu le ransomware Lockbit infecter l’ensemble de ses infrastructures, hyperconvergées comme serveur de sauvegarde. Lorsque nous avons été contactés par notre partenaire au nom de leur client, nous avons donc trouvé une PME dans une situation désespérée, le prestataire sur site n’ayant pu que constater l’ampleur des dégâts.

Récupération de données sur 80 VM par rétro-ingénierie

Particulièrement improbable, le succès de l’attaque a donc fait de notre opération de récupération de données sur HPE SimpliVity une première en la matière ! Le ransomware Lockbit avait impacté l’ensemble de la fonction administrative et des services de production de l’entreprise. Son activité paralysée, la PME s’était vue contrainte de passer l’ensemble de ses employés en activité partielle (autrement dit, au chômage technique). L’enjeu de notre intervention était donc élevé…

La première étape a été d’établir un diagnostic conjoint avec le cabinet d’experts, les techniciens sur site et notre cellule de crise. L’infrastructure de production HPE SimpliVity et le serveur de sauvegarde de la PME étant infectés, notre objectif représentait donc la restauration de 80 VM (machines virtuelles) !

Selon notre protocole de récupération de données dans le cadre d’attaques par ransomware, le rapatriement du matériel de l’informatique a été effectué dans la journée afin que notre cellule de crise intervienne au plus tôt. La particularité de notre intervention a été la nécessité de procéder par rétro-ingénierie (ou reverse engineering), en lien étroit avec le fabricant HPE, afin de développer une solution adéquate pour récupérer les données. Et au terme de plusieurs jours de travail acharné, nos techniciens sont parvenus à restaurer les machines virtuelles essentielles à la reprise d’activité de l’entreprise.

L’expertise et la persévérance de nos équipes ont permis de limiter l’impact d’une attaque par ransomware qui aurait pu être catastrophique pour la pérennité de cette PME. Et il serait difficile de ne pas retirer une certaine fierté de ce qui fut le premier cas de récupération de données sur une infrastructure hyperconvergée HPE SimpliVity…

24 mai 2023