Um disco VMware é um conjunto de arquivos
Num datastore VMFS do ESXi, cada disco virtual costuma ter dois arquivos. O que se chama nome.vmdk é pequeno: segundo a Broadcom, é um arquivo de texto com a descrição do disco. O conteúdo de verdade fica em nome-flat.vmdk, que ocupa o tamanho do disco e guarda partições, sistema de arquivos e dados da máquina virtual.
Quando há snapshot, surgem pares novos, como nome-000001.vmdk e nome-000001-delta.vmdk, ou -sesparse.vmdk em discos grandes e no VMFS6. Cada delta guarda só o que mudou e aponta para o disco pai pelo descritor. A Broadcom avisa que ordenar errado os arquivos de uma cadeia pode corromper gravemente o sistema de arquivos e que snapshot não deve ser tratado como backup.
O que o ataque costuma atingir num ESXi
Ataques a servidores ESXi miram os discos porque um único host concentra muitas VMs. Em 2023, a orientação publicada pela CISA e pelo FBI para o ESXiArgs registrou que aquela campanha cifrava os arquivos de configuração das VMs, mas não os -flat, e que em alguns casos a configuração podia ser refeita a partir deles. Isso vale para aquela campanha; outras famílias cifram também o conteúdo, inteiro ou em partes.
Quando a cifragem do -flat.vmdk é parcial ou intermitente, ele pode manter boa parte dos blocos originais. A análise então procura a tabela de partições, o sistema de arquivos da VM (NTFS, ext4 ou outro) e os arquivos que ficaram fora dos trechos cifrados. Um descritor perdido costuma ser o menor dos problemas: a Broadcom documenta como recriá-lo, desde que o -flat esteja preservado.
Como a Data Rescue avalia um VMDK
Você conta quantas VMs foram atingidas, o tamanho dos discos, se havia snapshots e quais dados importam, e o envio é combinado por escrito antes de você mandar qualquer arquivo. Isolar o ambiente, investigar o ataque ou negociar com o grupo não faz parte do serviço: a Data Rescue avalia cópias dos discos depois da contenção.
Na cópia, mede-se o que ficou legível, refaz-se o descritor quando falta, reconstitui-se a cadeia de snapshots e, se der, o volume é montado só para leitura. Quando a estrutura do sistema de arquivos foi atingida, os arquivos são procurados pelo conteúdo. O laudo informa o que voltou inteiro, o que voltou danificado e o que não foi possível.