Ransomware Proxmox LVM-thin é o cenário em que o atacante, com root no PVE, criptografa os volumes das VMs direto em /dev/pve/vm-100-disk-0. Sem passar por arquivo. Por isso, a recuperação não segue o roteiro dos .qcow2 em diretório. Não há arquivo para clonar; há um thin pool com metadados próprios, a ser lido sem ativação. Contudo, a Crowdertech recupera esses volumes na mesma taxa dos casos em arquivo. A condição: ninguém rodou lvconvert --repair nem reiniciou o host.

A Crowdertech atende ransomware Proxmox LVM-thin com diagnóstico gratuito: (11) 99630-0675 · (11) 4863-3636.

Como o ransomware atinge o LVM-thin do Proxmox

Ransomware Proxmox LVM-thin exige root no host. A porta de entrada: SSH 22 exposto, web 8006 sem dois fatores ou senha de root reaproveitada. Por isso, uma vez dentro, o ransomware lista os volumes com lvs e escreve direto em /dev/mapper/pve-vm--100--disk--0, como faria com qualquer arquivo. Contudo, o thin pool não é um disco simples: cada volume é um mapa de blocos alocados sob demanda, descrito em um LV de metadados separado.

Além disso, Akira Linux e Babuk-ESXi, adaptados ao Proxmox em 2026, param as VMs com qm stop antes de criptografar. Ao final, desligam o host. Por isso, o administrador encontra o PVE desligado, as VMs sem boot e a mensagem de resgate em /root.

O que a criptografia parcial preserva no thin pool

Ransomware Proxmox LVM-thin com criptografia parcial encripta os primeiros megabytes de cada volume. É a mesma estratégia usada em arquivos. Por isso, tabela de partição e início do sistema de arquivos do guest se perdem. Os dados a partir de alguns megabytes ficam intactos. Contudo, o LV de metadados do pool, pve/data_tmeta, raramente é alvo — o atacante não sabe que ele existe. Além disso, com os metadados íntegros, a Crowdertech reconstrói o mapeamento de blocos de cada VM sem adivinhar.

Como a Crowdertech recupera ransomware Proxmox LVM-thin

Ransomware Proxmox LVM-thin é tratado em laboratório com os discos físicos do host — nunca com o Proxmox ligado.

Imagem dos discos físicos. Os discos do host são clonados em PC-3000 ou ddrescue. Por isso, o host original fica como evidência e o trabalho acontece nas cópias.

Leitura dos metadados sem ativar o pool. Com thin_dump sobre o LV de metadados, a Crowdertech obtém o mapa de cada volume — quais blocos físicos pertencem a vm-100-disk-0. Contudo, ativar o pool com vgchange -ay dispararia verificação automática e possível alteração.

Montagem via device-mapper. Além disso, dmsetup create com a tabela de mapeamento expõe cada volume como dispositivo de bloco somente leitura — e a Crowdertech exporta para .raw.

Extração do guest. Por isso, a partir do .raw, vale o protocolo de recuperação de VM Proxmox. Localizar o sistema de arquivos, remontar a árvore e extrair o que importa, em geral o banco de dados.

O que não fazer no host Proxmox atacado

Ransomware Proxmox LVM-thin fica irrecuperável com três ações comuns. Por isso, não execute lvconvert --repair pve/data: o comando reescreve os metadados e pode descartar o mapeamento das VMs. Contudo, também não rode thin_check --clear-needs-check-flag nem fstrim — ambos alteram o pool. Além disso, não reinstale o Proxmox nos mesmos discos para “recomeçar”: a instalação zera a tabela de partição e sobrescreve o início do pool.

Perguntas frequentes sobre ransomware Proxmox LVM-thin

Ransomware Proxmox LVM-thin gera dúvidas urgentes. Veja as principais.

Reiniciei o host e o thin pool não ativa mais. Perdi as VMs?

Depois do ataque, reiniciei o PVE e aparece “Check of pool pve/data failed”. Acabou? Não. Por isso, a falha de verificação significa que os metadados ou os primeiros blocos foram alterados — não que os dados sumiram. Contudo, cada novo boot tenta reparar e pode piorar. Além disso, desligue o host e acione a Crowdertech antes de qualquer lvconvert: (11) 99630-0675.

Tenho LVM-thin e ZFS no mesmo host. O ransomware atingiu os dois?

Algumas VMs estão em LVM-thin e outras em ZFS. O comportamento é o mesmo? Não, e isso muda a recuperação. Por isso, no ZFS o atacante com root geralmente encripta os arquivos zvol via /dev/zvol/, mas os snapshots ZFS costumam sobreviver se não foram destruídos explicitamente. Contudo, no LVM-thin não há snapshot automático — o que sobra é a criptografia parcial. Além disso, a Crowdertech trata os dois pools separadamente no mesmo diagnóstico: (11) 99630-0675.

A Crowdertech recupera VMs em LVM-thin após ransomware no Proxmox — (11) 99630-0675 · (11) 4863-3636.

Fontes: Proxmox VE Storage — LVM-Thin · LVM2 thin provisioning · CERT.br.