O que o ataque costuma atingir num host Hyper-V
Quem obtém acesso administrativo a um host Hyper-V consegue parar as máquinas virtuais e criptografar os discos delas direto no sistema de arquivos. Uma única ação atinge todos os servidores que rodam ali: controlador de domínio, arquivos, ERP, banco de dados. O alerta da CISA sobre o Akira registra que o grupo mirou historicamente VMware ESXi e Hyper-V.
Em cluster de failover, os VHDX ficam em Cluster Shared Volumes (CSV), volumes que, segundo a Microsoft, todos os nós acessam para leitura e gravação ao mesmo tempo. Isso dá continuidade quando um nó falha, mas também deixa os discos de todas as VMs ao alcance de um único nó comprometido. Configurações, checkpoints e estados salvos costumam estar na mesma pasta e sofrem junto.
Checkpoints e réplica não substituem o backup
Checkpoint é um retrato da VM num instante. A Microsoft avisa que o checkpoint padrão não é um backup completo. O arquivo AVHDX guarda só o que mudou depois dele e depende do VHDX pai; sozinho, não abre. A documentação também orienta a nunca apagar AVHDX direto, porque a exclusão feita pelo Hyper-V mescla os arquivos. Depois de um ataque, mesclar ou apagar pode destruir uma cadeia que ainda dava para ler.
O Hyper-V Replica mantém uma cópia assíncrona da VM em outro host e pode guardar pontos de recuperação de horas anteriores. Se o host de réplica estava no mesmo domínio e foi alcançado, a cópia também pode estar cifrada. Se escapou, os pontos anteriores ao ataque valem muito: pause a replicação e preserve-os antes de qualquer failover, a troca para a réplica.
VM ligada não quer dizer dados conferidos
Restaurar backups ou fazer o failover pode pôr as máquinas de pé em poucas horas. Isso não prova que bancos, pastas compartilhadas e documentos estão íntegros e na data esperada. Combine com os donos de cada aplicação o que precisa ser conferido antes de liberar usuários: tabelas, arquivos recentes, últimos lançamentos.
Muitas famílias de ransomware cifram só partes de arquivos grandes para ganhar tempo, e um VHDX de centenas de gigabytes às vezes conserva áreas legíveis. É possibilidade a examinar, não promessa. A Data Rescue avalia discos, arquivos VHDX e backups já isolados. Contenção, perícia e contato com os criminosos ficam fora desse trabalho.