Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Arquivos

VBM do Veeam criptografado por ransomware: o que muda

Perder o .vbm para o ransomware não significa, por si só, perder o backup do Veeam. O VBM é o arquivo de metadados: descreve a tarefa, as máquinas, os arquivos da cadeia e os pontos de restauração. Os dados ficam no VBK e nos VIB. Segundo a Veeam, um backup pode ser importado pelo VBK quando o VBM não está disponível. Preserve a pasta inteira como está; a análise cobre cópias de todos os arquivos da cadeia.

Iniciar recuperaçãoPerguntas frequentes

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

Extensão
.vbm (às vezes procurada como .vmb)
Origem
Veeam Backup & Replication
Função
metadados da tarefa e da cadeia de backup
Não contém
os dados das máquinas, que ficam no VBK e nos VIB
Tamanho
pequeno perto dos arquivos de dados da mesma cadeia
Atendimento
Atendido, com orçamento por escrito antes de qualquer trabalho

O que o VBM guarda e o que ele não guarda

Na documentação da Veeam, o VBM é o arquivo de metadados do backup. Ele registra a tarefa, as máquinas processadas, a quantidade e a estrutura dos arquivos e os pontos de restauração. A Veeam diz que esses metadados facilitam a importação e o mapeamento de backups. Os blocos das máquinas virtuais não estão nele: ficam no VBK, o backup completo, e nos VIB, os incrementais.

Por ser pequeno, o VBM dificilmente sobra em parte legível. A cifragem parcial que alertas da CISA descrevem faz diferença em arquivos grandes, como o VBK, e não num arquivo de metadados. Por isso a pergunta que importa raramente é o VBM: é saber se os arquivos de dados também foram atingidos, e quanto.

Sem o VBM, o que ainda dá para fazer

A documentação da Veeam sobre importação de backups indica selecionar o VBM porque o processo fica mais curto, e recomenda o VBK só quando o VBM não está disponível. Ou seja: o fabricante prevê um caminho sem os metadados. Para pontos de restauração anteriores, a mesma documentação pede que os incrementais estejam na mesma pasta do VBK.

Se o VBK e os VIB estão íntegros, uma importação feita pelo administrador do Veeam, num servidor limpo e a partir de cópias, pode bastar. Se foram cifrados, inteiros ou em partes, o VBM deixa de ser a questão principal: a avaliação passa a ser dos arquivos de dados, um por um.

Como a Data Rescue avalia uma cadeia sem o VBM

Você descreve o repositório (servidor Windows ou Linux, NAS, fita), quais arquivos foram atingidos e quais máquinas precisam voltar, e o envio é combinado por escrito, antes de você mandar qualquer coisa. Conter o ataque e investigar a invasão ficam com a sua equipe de segurança; a avaliação usa cópias da pasta do backup, já fora do ambiente comprometido.

Na análise, cada arquivo da cadeia é examinado para saber o que está íntegro, o que foi cifrado e em que trechos. Com o VBM perdido, tenta-se reconstituir a cadeia a partir dos próprios VBK e VIB. Com os blocos legíveis, busca-se extrair discos virtuais ou arquivos. Sem promessa de resultado: o laudo registra o que deu para extrair.

Sinais de que os metadados foram atingidos

  • O Veeam lista a tarefa, mas os pontos de restauração aparecem como indisponíveis ou ausentes.
  • O .vbm ganhou outra extensão, e os .vbk e .vib da mesma pasta talvez também.
  • A importação do backup falha ao ler os metadados.
  • O servidor do Veeam ou o banco de configuração dele também foi atingido.
  • Há nota de resgate na pasta do repositório.

O que não fazer

  • Não apague o VBM cifrado nem outros arquivos da cadeia, mesmo que pareçam inúteis.
  • Não edite o VBM à mão nem copie um de outra tarefa para o lugar dele.
  • Não rode reparo ou limpeza de backup no repositório original.
  • Não importe nem restaure dentro do ambiente que foi atacado.

O que fazer agora com a pasta do backup

01

Confirme o isolamento do servidor de backup

O servidor do Veeam e o repositório precisam estar fora do alcance do atacante antes de qualquer teste. Essa parte é da TI e de quem conduz a resposta ao incidente.
02

Copie a pasta da tarefa inteira

VBM, VBK, VIB e eventuais VRB vão juntos, com os nomes de agora, para um disco limpo e desconectado.
03

Procure outras cópias

O guia da CISA lembra que muitas variantes procuram e cifram backups acessíveis. Cópias em fita, em nuvem, em outro site ou em repositório imutável podem ter ficado fora do alcance.
04

Guarde nota, registros e a senha do backup

Preserve a nota de resgate, os registros do Veeam e, se o backup era criptografado pelo próprio Veeam, a senha usada na tarefa.
05

Descreva o caso por escrito

Diga quais arquivos foram atingidos, quanto ocupam e quais máquinas precisam voltar primeiro.
Perguntas frequentes

Perguntas sobre
VBM.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

Pesquisei por arquivo .vmb. É o mesmo que .vbm?
Em geral, sim. A extensão de metadados do Veeam é .vbm, e .vmb costuma ser troca de letras na busca. Confira a extensão exata na pasta do backup e informe-a quando contar o caso.
Dá para restaurar só com o VBK, sem o VBM?
A documentação da Veeam prevê importar o backup pelo VBK quando o VBM não está disponível; para pontos anteriores, os incrementais precisam estar na mesma pasta. Isso só ajuda se o VBK estiver íntegro, e deve ser feito em cópia, num servidor limpo.
O backup tinha criptografia do Veeam. Muda alguma coisa?
Muda. A criptografia do próprio Veeam é diferente da do ataque e exige a senha da tarefa para abrir os arquivos. Guarde essa senha e avise que o backup era criptografado: sem ela, a análise dos dados fica muito limitada.
Em quanto tempo sai o diagnóstico dos arquivos do Veeam?
Em 02 a 48 horas. Se houver trabalho depois dele, o prazo aparece no orçamento escrito, e você decide se segue ou não.

Leia também

Fontes

Conteúdo editorial da Data Rescue, atualizado em 29/10/2026. Orientação geral: não substitui a avaliação do dispositivo, a resposta a incidentes nem orientação jurídica. Veja a política editorial.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

Iniciar recuperaçãoEntenda o processo