HD Doctor Logo

Ransomware em Proxmox: Recuperar VMs e Discos QCOW2/ZFS

Por Equipe Técnica HD Doctor

Resposta direta

Ransomware em Proxmox raramente destrói os dados. Na maioria dos casos o atacante cifra apenas os primeiros megabytes de cada disco QCOW2 ou zvol ZFS — o host fica inutilizável, mas de 80% a 95% dos blocos das VMs continuam íntegros no storage. A recuperação depende quase inteiramente do que se faz nas primeiras horas.

Onde o ransomware realmente ataca no Proxmox

O Proxmox VE é Debian + KVM/LXC, então o ransomware que o atinge é um binário Linux comum — não existe 'ransomware de Proxmox'. Há dois caminhos de entrada. (1) Comprometimento do host: interface web na porta 8006 exposta à internet, SSH com root habilitado, credencial reaproveitada, ou vulnerabilidade sem patch como o bypass de autenticação do advisory PSA-2026-00043-1 (CVE-2023-54391), explorado ativamente desde setembro de 2026. Com root no host, o atacante cifra /var/lib/vz/images, os zvols ZFS, os volumes LVM-thin e o diretório /etc/pve. (2) Comprometimento pela VM: quando um convidado recebeu acesso direto ao datastore (NFS montado sem restrição, passthrough de disco, share do host), o ransomware do convidado cifra os próprios vdisks. Um detalhe muda tudo na recuperação: famílias modernas como BlackCat/ALPHV, LockBit, Play e Qilin usam cifragem intermitente — gravam só o cabeçalho e blocos amostrados, para cifrar terabytes em minutos. Em um QCOW2 de 500 GB, o que morre é o cabeçalho (magic QFI, tabelas L1/L2 e refcount); o resto dos clusters permanece em texto claro e é recuperável por reconstrução ou carving. O mesmo vale para o /etc/pve: ele é um sistema de arquivos FUSE (pmxcfs) apoiado no SQLite em /var/lib/pve-cluster/config.db — recuperar esse arquivo devolve todos os .conf das VMs, com o mapeamento de discos.

O que nunca fazer em um Proxmox cifrado

  1. 1.
    Reinstalar o Proxmox sobre o disco afetado. A instalação recria a tabela de partições e o pool. É a causa número um de caso irrecuperável que chegaria intacto ao laboratório.
  2. 2.
    Rodar zpool destroy ou zpool import -f às cegas. Importação forçada grava no pool e pode consumir os uberblocks antigos que permitiriam rollback de transação. Sempre readonly=on primeiro.
  3. 3.
    Usar lvconvert --repair no volume original. O reparo de metadados thin reescreve o mapeamento. Feito no original e sem cópia, transforma um caso de horas em caso perdido.
  4. 4.
    Restaurar backup por cima do storage atingido. Além de sobrescrever os blocos ainda íntegros, destrói a evidência forense que sustenta laudo, aviso à ANPD e apólice de seguro.
  5. 5.
    Deixar o Proxmox Backup Server na mesma rede e credencial. O atacante moderno procura o PBS antes de cifrar. Datastore alcançável com a mesma chave é datastore apagado. Namespaces, prune protegido e verificação são o mínimo.
  6. 6.
    Negociar resgate antes do inventário. Em boa parte dos casos que atendemos existiam snapshots ZFS ou PBS intactos que ninguém tinha checado. Pagar sem inventário é pagar por dado que já se tinha.

Como recuperar um Proxmox atingido por ransomware, em 7 passos

Sequência usada pela HD Doctor em ambientes virtualizados. Os passos 1 a 3 são irreversíveis se pulados — é neles que a maioria dos casos é perdida.

  1. 1

    Isole o host sem desligar

    Desconecte o cabo de rede ou bloqueie o tráfego no switch. Não reinicie e não desligue: a RAM ainda pode conter chaves, processos do encryptor e evidência de origem do ataque. Reboot também dispara replay de journal em ZFS e LVM-thin, que sobrescreve metadados ainda aproveitáveis.

  2. 2

    Não reinstale, não repare, não teste

    Reinstalar o PVE por cima, rodar zpool destroy, forçar lvconvert --repair ou restaurar backup por cima do storage afetado são as quatro ações que mais destroem casos recuperáveis. Nesta fase o host é evidência e mídia de origem, nada mais.

  3. 3

    Imagem bit a bit antes de qualquer tentativa

    Clone cada disco físico com ddrescue ou hardware de imagem para storage externo, com hash SHA-256 do original e da cópia. Todo o trabalho seguinte acontece sobre a cópia. Em ZFS, importe sempre com zpool import -o readonly=on. Sem imagem, cada tentativa de reparo consome uma chance.

  4. 4

    Inventarie o que sobreviveu

    Sobre a cópia: qemu-img info e qemu-img check em cada .qcow2 para ver se o cabeçalho está intacto; zfs list -t snapshot -o name,creation para listar snapshots; verificar se o datastore do Proxmox Backup Server foi alcançado; localizar /var/lib/pve-cluster/config.db. Esse inventário decide o caminho: restore limpo, rollback ou reconstrução em laboratório.

  5. 5

    Explore ZFS antes de qualquer reconstrução

    Snapshots ZFS são read-only por design: um encryptor que grava no dataset não altera o snapshot anterior. Se os snapshots existem, um clone (não rollback) sobre a cópia devolve as VMs em minutos. Se o pool não importa, tente importação read-only com -F e, em último caso, rollback de transação com zpool import -T <txg> — operação que só deve ser feita sobre imagem, nunca no disco original.

  6. 6

    Reconstrua QCOW2, zvol e LVM-thin cifrados parcialmente

    Com cabeçalho QCOW2 destruído mas clusters íntegros, reconstruímos header, tabelas L1/L2 e refcount a partir da geometria do arquivo, ou extraímos o filesystem interno por carving. Em disco raw e zvol o caminho é mais direto: o NTFS ou ext4 de dentro costuma ser remontável a partir de MFT espelhada ou superbloco de backup. Em LVM-thin, os metadados vêm de thin_dump sobre a cópia e de /etc/lvm/archive via vgcfgrestore.

  7. 7

    Reconstrua o ambiente em hardware limpo e só então religue

    Instale um Proxmox novo em hardware ou disco diferente, restaure as VMs validadas, corrija o vetor de entrada (patch, 8006 fora da internet, MFA, credenciais rotacionadas) e só depois reconecte à rede. Religar o host comprometido para 'ver se funciona' é reinfecção garantida, agora sem a cópia limpa.

Perguntas frequentes

Dá para recuperar um disco QCOW2 criptografado por ransomware?

Na maioria dos casos, parcialmente ou totalmente — sem pagar resgate. Como as famílias atuais usam cifragem intermitente, o que costuma ser destruído é o cabeçalho QCOW2 e as tabelas de alocação, não os dados. Reconstruindo o cabeçalho ou fazendo carving dos clusters íntegros, recuperam-se bancos de dados, arquivos e VMs inteiras. Se o encryptor cifrou o arquivo do começo ao fim, só backup, snapshot ou decryptor válido resolvem.

O ransomware consegue cifrar snapshots ZFS do Proxmox?

Cifrar, não: snapshots ZFS são imutáveis por construção. Mas quem tem root no host pode destruí-los com zfs destroy, e é o que costuma acontecer antes da cifragem. Se o pool ainda existe, mesmo com snapshots removidos há chance real de rollback de transação (zpool import -T) enquanto houver pouca escrita nova — outro motivo para não reiniciar nem reinstalar.

Meu Proxmox Backup Server também foi cifrado. Ainda tenho saída?

Sim. O datastore do PBS é chunk store: mesmo com parte dos chunks danificada, um verify job identifica quais snapshots ainda restauram integralmente. E o storage do próprio PBS é recuperável em laboratório como qualquer volume ZFS ou ext4 cifrado parcialmente. Não formate e não rode garbage collection depois do ataque.

O ataque veio de dentro de uma VM. Muda a recuperação?

Muda o escopo. Se o convidado tinha acesso direto aos vdisks (NFS aberto, passthrough, share do host), apenas as VMs alcançadas foram cifradas — host, /etc/pve e demais datastores costumam estar limpos, o que torna a recuperação bem mais rápida. Também muda a correção: o problema é isolamento de storage, não senha do host.

Quanto tempo leva a recuperação de um Proxmox atingido?

Diagnóstico em até 24h. Quando existem snapshots ZFS ou PBS íntegros, o ambiente costuma voltar em 24 a 72h. Reconstrução de QCOW2 ou LVM-thin cifrados parcialmente leva de 3 a 10 dias úteis, conforme volume e número de VMs. Casos com prazo crítico entram em regime emergencial 24×7.

Preciso enviar o servidor inteiro ou só os discos?

Em geral só os discos, na ordem e identificação originais — fotografe as baias antes de remover. Se o storage é Ceph ou o cluster perdeu quorum, avaliamos nó por nó, e em alguns casos vale atendimento remoto sobre imagens que sua equipe gera aqui, com nossa supervisão.

A HD Doctor entrega laudo para seguro e ANPD?

Sim. Todo caso de ransomware sai com relatório técnico, hashes SHA-256 de origem e cópia e cadeia de custódia documentada — material aceito por seguradora, perícia judicial e comunicação de incidente à ANPD sob a LGPD.

Proxmox cifrado agora? Não reinicie o host.

Diagnóstico em 24h, atendimento emergencial 24×7, NDA antes do envio. 280+ ambientes Proxmox atendidos.

Próximas leituras