VM Proxmox criptografada por ransomware quase sempre tem o banco recuperável. O atacante encripta o arquivo .raw ou .qcow2, não as páginas do banco dentro dele. Por isso, a Crowdertech recuperou em 2026 mais de uma dezena de ERPs em VMs Proxmox atingidas por LockBit, Akira e derivados. MariaDB, PostgreSQL, SQL Server e Firebird, sem descriptografar nada. Contudo, o método lê o disco virtual abaixo do sistema de arquivos do guest. Não funciona se a VM foi inicializada depois do ataque.

A Crowdertech extrai banco de dados de VM Proxmox criptografada com diagnóstico gratuito: (11) 99630-0675 · (11) 4863-3636.

Por que o banco sobrevive dentro da VM Proxmox criptografada

VM Proxmox criptografada é, na prática, um arquivo de 40 GB a 1 TB com os primeiros megabytes trocados por lixo. O restante fica intacto. Por isso, a criptografia parcial de LockBit, Akira e Babuk atinge a tabela de partição, o início do sistema de arquivos e os primeiros blocos. Contudo, o datadir do MariaDB em /var/lib/mysql, o PGDATA do PostgreSQL ou o .mdf do SQL Server ficam dezenas de gigabytes adiante — fora da faixa criptografada.

Além disso, cada motor grava em páginas de tamanho fixo com assinatura própria. São 16 KB no InnoDB, 8 KB no PostgreSQL e no SQL Server, 4 ou 8 KB no Firebird. Por isso, a Crowdertech localiza essas páginas diretamente no disco virtual, sem depender da tabela de partição ou do inode do arquivo.

O que muda entre MariaDB, PostgreSQL, SQL Server e Firebird

VM Proxmox criptografada com MariaDB ou MySQL é o caso mais frequente nos ERPs nacionais em Linux. Por isso, a Crowdertech carve as páginas InnoDB por space_id e page_number e remonta cada tablespace .ibd. O ibdata1, dicionário de dados, é reconstruído quando necessário. Contudo, PostgreSQL exige remontar os arquivos de relação por relfilenode e reconstruir o catálogo pg_class. Além disso, SQL Server em guest Windows segue o protocolo de recuperação forense de MDF. Firebird usa o page_type do cabeçalho para separar dados de índices.

Como a Crowdertech extrai o banco de uma VM Proxmox criptografada

VM Proxmox criptografada passa por cinco etapas no laboratório da Crowdertech. Todas sobre cópia forense do disco virtual.

Imagem do disco virtual. Para armazenamento em diretório, o .raw ou .qcow2 é copiado; para LVM-thin ou ZFS, o volume é exportado como .raw. Por isso, o host Proxmox comprometido nunca executa a extração.

Mapeamento da faixa criptografada. A Crowdertech identifica quais blocos o ransomware alterou. Em geral, os primeiros 1 a 4 MB; em algumas variantes, blocos espaçados a cada N MB. Contudo, variantes de 2026 como Babuk-ESXi e Akira Linux usam padrões diferentes.

Localização do sistema de arquivos do guest. Além disso, com o superbloco ext4 ou o boot sector NTFS frequentemente intactos em cópias secundárias, a Crowdertech remonta a árvore de diretórios e localiza o datadir.

Carve e remontagem das páginas. Por isso, cada tabela é reconstruída página a página, validada por checksum interno e exportada.

Restauração em instância limpa. Contudo, o banco só é considerado recuperado quando sobe em uma instância nova do mesmo motor, com CHECK TABLE, pg_amcheck ou DBCC CHECKDB sem erros.

O que não fazer com a VM Proxmox criptografada

VM Proxmox criptografada perde recuperabilidade a cada tentativa de boot. Por isso, não inicie a VM: o kernel do guest tenta reparar o sistema de arquivos e sobrescreve blocos íntegros. Contudo, também não rode qemu-img check -r nem fsck no disco virtual — ambos gravam. Além disso, não restaure backup por cima do disco atacado antes do diagnóstico: o backup pode ter sido feito com o ransomware já na rede.

Perguntas frequentes sobre VM Proxmox criptografada

VM Proxmox criptografada gera dúvidas urgentes. Veja as principais.

O ERP rodava em VM Proxmox e o banco é MariaDB. Quanto dá para recuperar?

Nossa VM com o ERP foi criptografada. O banco MariaDB tinha 30 GB. O que volta? Em casos recentes com criptografia parcial, a Crowdertech recuperou entre 95% e 100% das tabelas transacionais. Por isso, as páginas InnoDB fora da faixa criptografada estão intactas e passam no checksum. Contudo, tabelas pequenas que ficavam no início do datadir podem precisar de reconstrução a partir do redo log. Além disso, o diagnóstico mostra tabela por tabela antes de qualquer cobrança: (11) 99630-0675.

Dá para recuperar o banco sem a VM inteira? Só preciso dos dados.

Não preciso da VM de volta, só do banco. Isso é mais rápido? Sim, e é o caminho recomendado. Por isso, extrair o banco direto do disco virtual evita reconstruir sistema operacional, aplicação e configurações — e entrega em 2 a 5 dias úteis. Contudo, a Crowdertech também entrega a VM completa quando o cliente precisa, em prazo maior. Além disso, o banco restaurado sobe em qualquer host Proxmox limpo ou em servidor físico: (11) 99630-0675.

A Crowdertech extrai bancos de dados de VM Proxmox criptografada sem pagar resgate — (11) 99630-0675 · (11) 4863-3636.

Fontes: Proxmox VE Documentation · MariaDB InnoDB File Format · CERT.br.