VMware ESXi cifrado por un ransomware
1️⃣ Síntomas de infección de un ESXi por ransomware
Cuando un hipervisor VMware ESXi es infectado por un ransomware, aparecen varios signos distintivos:- Cifrado de los archivos VMDK
- Las máquinas virtuales (VM) alojadas se ven afectadas por el cifrado de los archivos VMDK (Virtual Machine Disk), que contienen el disco duro virtual.
- Los archivos a veces conservan su nombre, pero la extensión puede ser modificada por el malware, por ejemplo: .vmdk.locked, .vmdk.anubis, .vmdk.enc.
- El tamaño de los archivos suele mantenerse igual, pero el contenido se vuelve ilegible.
- Notas de rescate en el datastore
- Presencia de archivos de texto o HTML en los datastores ESXi indicando el ataque y el pago exigido.
- Inaccesibilidad de las VM
- Los intentos de iniciar las VM fallan.
- Errores frecuentes en vSphere: “Cannot open the disk”, “VMware cannot access the virtual disk” o “file is encrypted”.
- Modificación o eliminación de snapshots
- Ransomwares avanzados eliminan o cifran los snapshots (.vmsn, .vmsd) para impedir cualquier restauración rápida.
2️⃣ Impacto en los archivos VMDK
El VMDK es el núcleo de una VM. El impacto depende del tipo de ransomware:| Tipo de impacto | Descripción |
| Cifrado completo | Los datos de la VM están totalmente cifrados, haciendo que el sistema virtual sea inutilizable. |
| Cifrado parcial | Solo algunas partes del VMDK están cifradas, a veces detectable por el tamaño de los bloques modificados. |
| Destrucción de metadatos | El encabezado VMDK o el descriptor (archivo .vmdk) es modificado o borrado, impidiendo su apertura incluso si los bloques de datos están intactos. |
| Eliminación de snapshots | Los puntos de restauración de vSphere se pierden, lo que elimina una vía de recuperación rápida. |
- Imposible iniciar las VM sin intervención especializada.
- Las herramientas estándar de recuperación ESXi fallan si el encabezado VMDK está dañado o si el cifrado es fuerte.
- Las copias de seguridad no aisladas (NAS, datastore conectado a la red) también pueden cifrarse si son accesibles desde el ESXi comprometido.
3️⃣ Impacto en la recuperación de datos
La recuperación depende de varios factores :- Integridad de los VMDK
- Si el VMDK está completamente cifrado con un algoritmo robusto (AES-256 o ECIES), la recuperación directa es casi imposible sin la clave.
- Si solo el encabezado o el descriptor está afectado, es posible reconstruir el VMDK y recuperar la máquina virtual.
- Tipo de datastore
- VMFS en disco local o SAN : recuperación más rápida, ya que los bloques están localizados y son accesibles.
- NFS / NAS : el cifrado del datastore afecta a todos los archivos de las VM alojadas, lo que complica la recuperación.
- Herramientas de recuperación
- Las herramientas clásicas como Veeam / ESXi Recovery pueden fallar si el encabezado está dañado.
4️⃣Recomendaciones inmediatas después del ataque
- Aislar el ESXi de la red para evitar la propagación a otros hipervisores o NAS.
- No reiniciar las VM cifradas para evitar escrituras adicionales en el disco.
- Identificar el ransomware si es posible (extensiones de archivos, nota de rescate).
- Verificar el estado de las copias de seguridad y conservar inmediatamente una copia fuera de línea.
- Contactar con un proveedor especializado en recuperación post-ransomware para ESXi.
5️⃣Resumen de los impactos clave
| Elemento | Impacto |
| Archivos VMDK | Cifrado total o parcial, encabezado modificado |
| Snapshots | A menudo eliminados, pérdida de puntos de restauración |
| Datastore | NFS o VMFS cifrado, posible propagación a todas las VM |
| Copias de seguridad | Riesgo de cifrado si son accesibles, impacto mayor en la recuperación |
| Tiempo de recuperación | 1–2 días (VMDK intacto) hasta 3–4 semanas (encabezado dañado + múltiples VM) |
En conclusión, un ataque de ransomware en un hipervisor VMware ESXi es extremadamente crítico: los archivos VMDK representan el conjunto completo de datos de la máquina virtual y su corrupción o cifrado hace que la recuperación sea muy compleja. La rapidez de intervención, la disponibilidad de copias de seguridad aisladas y el uso de herramientas especializadas determinan el éxito y el tiempo necesario para la recuperación.