Casos de ransomware em ESXi e Proxmox mostram que erros de configuração e credenciais expostas bastam para derrubar a virtualização

O Kaspersky GERT investigou dois casos de ransomware em que a virtualização caiu sem exploit de escape de VM. No primeiro, o grupo BlackNevas partiu de um Windows no segmento do controlador de domínio virtualizado (rastros de AnyDesk e GMER) e chegou ao PRTG Network Monitor. O PRTG tinha acesso amplo aos hosts ESXi e a mesma senha root se repetia em vários nós. Com ela, o atacante entrou por SSH, desativou o execInstalledOnly com esxcli, executou o binário de criptografia e apagou logs.

No segundo, o grupo The Gentlemen achou credenciais root do Proxmox em texto puro nas anotações de uma estação de administrador comprometida. Ativou o websocket do VNC com a conta root e baixou e executou o ransomware no cluster, criptografando todo o ambiente. A conclusão do relato é que patch e configuração segura precisam andar juntos: um hipervisor atualizado cai com senha compartilhada, conta de monitoramento com privilégio demais ou SSH aberto. O texto cita como mitigação identidades dedicadas ao monitoramento, cofre para credenciais únicas por host, SSH desligado com Lockdown Mode, rede de gerenciamento isolada, logs em armazenamento protegido e alertas para mudanças em execInstalledOnly e Secure Boot.

Não há evolução direta do mesmo caso na cobertura anterior, mas há contexto próximo. Em 29 de junho de 2026, o CEVIU publicou "AuditD: como invasores exploram e operam em nós do Proxmox VE", sobre a migração de infraestruturas do VMware para o Proxmox e como adversários atuam nesses nós. O caso do The Gentlemen mostra um exemplo prático dessa atuação, com credencial root vazada e uso do VNC.

Para quem opera virtualização, a leitura é que o ponto fraco costuma estar nos sistemas vizinhos do hipervisor, como monitoramento e estações de administração. Vale inventariar onde existem senhas root guardadas (ferramentas, scripts, anotações) e testar se a equipe detectaria a desativação do execInstalledOnly. Isso é interpretação editorial, a partir dos dois casos descritos.