Por que o ESXi virou alvo
Um host ESXi pode rodar dezenas de servidores, e cifrar o hipervisor derruba todos de uma vez. Por isso vários grupos criaram encriptadores próprios para ele, os chamados lockers de ESXi. Segundo a CISA, o Akira lançou em abril de 2023 uma variante para Linux voltada às VMs do ESXi; a atualização do alerta, de novembro de 2025, descreve uma versão capaz de desligar VMs em execução.
Quem controla o vCenter alcança todos os hosts ligados a ele. Por isso o vCenter, as contas de domínio integradas a ele e o servidor de backup entram na lista do que pode ter sido atingido. No ESXiArgs, em 2023, a porta de entrada foi uma falha antiga do serviço SLP em hosts expostos à internet, e a orientação oficial incluiu atualizar o ESXi e desligar esse serviço.
O que o caso ESXiArgs mostrou
No alerta AA23-039A, CISA e FBI registraram que o ESXiArgs atacava a configuração e os metadados das máquinas virtuais e deixava de fora os arquivos -flat.vmdk, que guardam os dados. Em parte dos casos, isso permitiu recriar a configuração e registrar a VM de novo. A própria CISA avisou que o roteiro de recuperação podia falhar e devia ser revisado antes do uso.
O exemplo não vira regra. Outras famílias cifram o disco inteiro, ou só blocos espaçados de arquivos grandes. Num VMDK de muitos gigabytes, a cifragem parcial pode deixar legíveis partes do sistema de arquivos da VM. É hipótese a avaliar caso a caso, sem promessa. Veja VMDK criptografado.
Snapshots, vCenter e a conferência final
A Broadcom afirma que snapshots não devem ser considerados backup e que mexer à mão nos discos filhos ou nos arquivos de configuração pode quebrar a cadeia. Depois de um ataque, consolidar, apagar arquivos delta ou renomear pastas tira contexto de quem vai analisar. Preserve a pasta inteira de cada VM, do jeito que está.
Reinstalar o ESXi e restaurar backups pode devolver os serviços. Servidor ligado, porém, não prova que os dados estão inteiros e atualizados. Faça com os donos das aplicações uma lista de conferência: bancos, arquivos recentes, acessos. A Data Rescue avalia datastores, VMDK e backups isolados, sem atuar na contenção, na investigação ou em negociação.