VMDK cifrato da ransomware
1️⃣ Sintomi di un VMDK cifrato da ransomware
I file VMDK (Virtual Machine Disk) sono i dischi virtuali utilizzati da VMware e da altre soluzioni di virtualizzazione. Quando un ransomware li colpisce:
- Modifica dell’estensione del file
Esempio: .vmdk → .vmdk.locked, .vmdk.anubis, .vmdk.crypt
Il ransomware modifica il nome del file per indicare che è stato cifrato. - Inaccessibilità della macchina virtuale
La macchina virtuale non si avvia più. VMware o vSphere può mostrare errori come:- “VMware cannot open the virtual disk”
- “Failed to open the virtual disk: the file is corrupted or encrypted”
- Corruzione visibile degli snapshot
Gli snapshot associati possono diventare inutilizzabili se il ransomware cifra anche i file .vmsn o .vmsd. - Presenza di note di riscatto
Nella stessa cartella compare un file di testo o HTML contenente l’importo del riscatto, i dati di contatto e il metodo di pagamento.
Log della VM interessati
I file di registro .log possono contenere messaggi di errore relativi al montaggio o alla lettura del disco.
2️⃣ Impatto sulla recuperazione dei dati
Il recupero dipende in larga misura dall’entità della cifratura e dai backup disponibili:
- Se il ransomware ha cifrato solo il VMDK
- È impossibile montare o accedere direttamente alle macchine virtuali.
- Solo un backup integro o uno strumento specializzato nel recupero di file cifrati da ransomware può consentire di ripristinare i dati.
- Se sono presenti frammenti o snapshot danneggiati
- I VMDK possono essere parzialmente recuperabili.
- Impatto sui tempi e sulla complessità
- Il processo è lungo e delicato, poiché spesso richiede:
- l’analisi dell’algoritmo di cifratura utilizzato dal ransomware;
- l’identificazione dei blocchi del VMDK non cifrati o parzialmente recuperabili;
- la ricostruzione della struttura del disco virtuale (descriptor VMDK + dati).
- Recupero completo: da diverse ore a diversi giorni per un singolo VMDK da 100 GB a 1 TB, a seconda della complessità.
- Il recupero può fallire completamente se:
- il VMDK è stato completamente sovrascritto da un software di cancellazione;
- la porzione interessata dalla cifratura è troppo estesa.
- Il processo è lungo e delicato, poiché spesso richiede:
3️⃣ Punti critici da tenere a mente
- Non tentare mai di montare un VMDK cifrato: esiste il rischio di causare ulteriori danni o corruzione (creare delle copie prima di qualsiasi manipolazione).
- Non eliminare il file né tentare di formattarlo: ogni byte è importante per il recupero.
- Strumenti specializzati: alcune aziende di recupero dati dispongono di software in grado di:
- analizzare il VMDK cifrato;
- ricostruire i blocchi parzialmente integri;
- recuperare file critici anche senza una decifratura completa.
Il tempo effettivo necessario per il recupero dipende dalle dimensioni del disco, dal metodo di cifratura utilizzato e dallo stato del VMDK.