Proxmox Backup Server criptografado por ransomware não significa backups perdidos. Significa índices atingidos e chunks que precisam ser remontados. Por isso, a arquitetura do PBS abre um caminho que backups monolíticos não têm: cada backup vira milhares de blocos deduplicados de até 4 MB. Contudo, esse desenho faz o PBS sofrer mais com criptografia parcial do que um VBK ou VMA. O diagnóstico mede isso antes de qualquer promessa.

A Crowdertech recupera Proxmox Backup Server criptografado com diagnóstico gratuito: (11) 99630-0675 · (11) 4863-3636.

Como o ransomware atinge o Proxmox Backup Server

Proxmox Backup Server criptografado nasce de dois erros recorrentes. Interface web 8007 exposta à internet e root@pam com a mesma senha do host PVE. Por isso, quem compromete o PVE quase sempre chega ao PBS em seguida — as credenciais são as mesmas e o PBS está na mesma VLAN. Contudo, grupos como LockBit e Akira sabem que o PBS é o último lugar onde os dados sobrevivem, e o atacam antes de criptografar a produção.

Além disso, o ransomware que roda como root no PBS tem acesso direto ao datastore em /datastore/<nome>/.chunks/. Por isso, ele criptografa os arquivos de índice .fidx e .didx dos snapshots, os arquivos de chunk e, em alguns casos, apaga os diretórios vm/<id>/<timestamp>/. Contudo, o que o atacante raramente faz é esperar o garbage collection rodar — e isso muda tudo.

Por que os chunks sobrevivem mesmo com o PBS criptografado

Proxmox Backup Server criptografado mantém os chunks em disco até o GC marcá-los como órfãos. Esse ciclo roda a cada dia ou semana, não na hora. Por isso, snapshots apagados pelo atacante ainda têm seus blocos em .chunks/ se o GC não passou. Contudo, chunks de até 4 MB são pequenos. A criptografia parcial do ransomware, que atinge os primeiros megabytes de cada arquivo, encripta o chunk inteiro. Além disso, a Crowdertech mede essa proporção no diagnóstico: em casos recentes, entre 55% e 80% dos chunks permaneceram legíveis.

Como a Crowdertech recupera Proxmox Backup Server criptografado

Proxmox Backup Server criptografado passa por quatro etapas. Sempre sobre cópia forense do datastore, nunca no PBS original.

Inventário de chunks. A Crowdertech varre .chunks/ e classifica cada bloco por integridade usando o hash SHA-256 que dá nome ao arquivo. Por isso, um chunk cujo conteúdo não bate com o nome está criptografado; um que bate está íntegro.

Reconstrução dos índices. Com os índices .fidx criptografados, a Crowdertech remonta a sequência de chunks de cada disco virtual a partir dos chunks íntegros e da estrutura dos snapshots sobreviventes. Contudo, quando nenhum índice sobreviveu, a remontagem usa assinaturas internas do guest — tabela de partição, superbloco ext4 ou MFT do NTFS.

Restauração seletiva. Além disso, a prioridade é o que o cliente mais precisa: disco do banco, servidor de arquivos. VMs completas vêm depois.

Entrega fora do ambiente comprometido. Por isso, o resultado vai para um host Proxmox limpo ou para imagens .raw e .qcow2 que a equipe do cliente importa.

O que fazer agora se o PBS foi criptografado

Proxmox Backup Server criptografado exige três decisões imediatas. Por isso, desligue o GC: proxmox-backup-manager garbage-collection não pode rodar antes do diagnóstico, ou os chunks órfãos somem. Contudo, não desligue o PBS — isole a rede. Além disso, não tente proxmox-backup-client restore nem verify: ambos leem índices criptografados e podem marcar chunks como corrompidos.

Por isso, a recuperação de VM Proxmox a partir do PBS costuma ser mais rápida do que a partir dos discos de produção — quando o GC não rodou.

Perguntas frequentes sobre Proxmox Backup Server criptografado

Proxmox Backup Server criptografado gera dúvidas urgentes. Veja as principais.

O atacante apagou os snapshots do PBS. Os backups foram embora?

Os diretórios vm/100 e vm/101 sumiram do datastore. Perdi os backups? Não necessariamente. Por isso, apagar o diretório do snapshot remove os índices, mas os chunks continuam em .chunks/ até o GC rodar. Contudo, cada hora com o GC ativo reduz o que sobra. Além disso, a Crowdertech reconstrói os índices a partir dos chunks e das assinaturas do guest: (11) 99630-0675.

Meu PBS tinha criptografia nativa do cliente. O ransomware fez diferença?

Eu já usava encryption key no proxmox-backup-client. O ransomware criptografou por cima? Sim, e isso é bom. Por isso, a criptografia nativa do PBS protege o conteúdo dos chunks — o ransomware encripta por cima, mas a chave original continua válida para a camada interna. Contudo, a recuperação exige a encryption-key.json do cliente. Além disso, sem essa chave, nem o PBS nem a Crowdertech leem os dados: (11) 99630-0675.

A Crowdertech recupera Proxmox Backup Server criptografado sem pagar resgate — (11) 99630-0675 · (11) 4863-3636.

Fontes: Proxmox Backup Server Documentation · CERT.br.