Amb xifrar el 10 % del VMDK en té prou: el compte que canvia el teu pla de recuperació

El xifrador per a ESXi de Kyber té un paràmetre de percentatge. El binari el valida entre 0 i 100 i el valor que Rapid7 va observar posat era 10. En un disc virtual de 500 GB això són uns 50 GB tocats, i amb això la màquina ja no arrenca.

Rapid7 va recuperar dos binaris a la mateixa xarxa durant una resposta a incident el març de 2026 i va publicar l'anàlisi el 21 d'abril: un ELF de 64 bits en C++ escrit per a ESXi i un PE en Rust per a servidors Windows. Comparteixen identificador de campanya i infraestructura a Tor, o sigui que tot apunta al mateix afiliat apuntant a les dues meitats de la mateixa casa. Convé dir d'entrada que el xifrat parcial no és cap novetat: LockFile ja el feia servir a mitjan 2021 —xifrava 16 bytes de cada 32 per burlar l'anàlisi khi quadrat amb què alguns productes detecten fitxers xifrats— i des del 2022 l'anuncien com a reclam per a afiliats Black Basta, ALPHV/BlackCat, PLAY, Agenda i Qyick. El que aporta Rapid7 és el desensamblat amb els números al davant, i aquests números tenen conseqüències concretes per al teu pla de recuperació.

Què fa exactament amb cada fitxer

El recorregut és recursiu sobre /vmfs/volumes i no segueix enllaços simbòlics. Per a cada fitxer, tres trams:

• Menys d'1 MB: es xifra sencer.
• Entre 1 i 4 MB: només el primer MB.
• Més de 4 MB: una porció proporcional, el percentatge configurable que Rapid7 va observar posat a 10.

El motiu que dona Rapid7: redueix molt el temps de xifrat «mentre continua deixant inservibles els fitxers grans (per exemple, VMDK)». Fitxers xifrats amb extensió .xhsyw; exclou .locksignal, .processing, .cryptdata_backup, .tmp, readme.txt i .sf, els fitxers de sistema de VMware.

El 90 % dels bytes del VMDK continua sent teu, byte a byte, i tant se val. Rapid7 no publica on cau aquesta porció dins del fitxer, i tampoc cal saber-ho: un disc virtual amb 50 GB de soroll ficats per algun lloc no arrenca, i el contingut no es recupera a mà en un termini que li serveixi a ningú. Compte amb la temptació de convertir això en un «deu vegades més ràpid»: nosaltres no ho podem afirmar i Rapid7 tampoc no ho diu —parla de reduir molt el temps de xifrat, sense donar factor—, perquè el recorregut del datastore, l'obertura de cada fitxer i les esperes d'entrada/sortida hi continuen sent. El que sí que es pot dir és que la finestra entre «ha començat» i «ja tant se val» s'escurça, i no sabem quant. Si la teva detecció triga una hora, el factor exacte és una discussió acadèmica: arribes tard.

Abans de xifrar, apaga els testimonis

La seqüència al host és curta. Enumera amb esxcli vm process list, mata amb esxcli vm process kill type=soft world-id <id> —amb llista blanca opcional per respectar alguna màquina— i, abans de xifrar res, substitueix tres fitxers per la nota de rescat: /etc/motd i els dos index.html del Host Client. Sobre la part d'apagar defenses abans de començar ja en vam escriure amb detall a compte de DeadLock i la seva llista de serveis, així que aquí només apuntem el que canvia en un hipervisor: les màquines que apaga són on viu la teva detecció. El que quedi per veure, ho ha de veure el host.

A l'hipervisor no hi tens agent, i no és un descuit teu

Ho diu Broadcom al seu propi article de la base de coneixement, el 330057: «It is not supported to install 3rd Party Agents or Antivirus Software directly on the VMware vCenter Server Appliance (VCSA) or ESXi hosts». No és que se t'oblidés desplegar l'agent als hosts: és que no està suportat, i el dia que obris un cas t'ho recordaran. ESXi és més a prop del firmware d'un encaminador que d'un sistema operatiu de propòsit general, i no està fet per executar programari pensat per a Windows o per a Linux; el que el mateix article proposa són eines sense agent, algunes de les quals entren per SSH, amb el que això implica.

La defensa del host es reparteix en tres decisions, i cap no es compra. Qui hi pot parlar: el mode lockdown obliga a operar a través de vCenter, amb dues portes que cal auditar perquè continuen obertes fins i tot en lockdown estricte —la llista DCUI.Access i els Exception Users amb permisos d'administrador, que conserven DCUI, ESXi Shell i SSH—. Què se li deixa executar: execInstalledOnly impedeix executar binaris que no vinguin en un VIB signat, i des d'ESXi 8.0 l'opció interna d'execució ve activada de fàbrica; la d'arrencada, no. És a dir, aquí no toca activar res: toca comprovar que ningú no la va apagar per instal·lar alguna cosa, un cas prou freqüent perquè Broadcom tingui article propi sobre hosts actualitzats a 8.x que hi apareixen desactivada. Què envia a fora: syslog remot, perquè si et desfiguren el motd i el Host Client, el d'abans ha de ser en una altra màquina. El nostre EDR/MDR gestionat fa la seva feina dins de les màquines virtuals i als servidors; al hipervisor el que es vigila és el pla de gestió. Quan una conversa sobre ESXi comença per «quin antivirus li poso al host?», va mal encaminada des de la primera frase.

La nota de rescat també fa màrqueting

La nota que deixa el xifrador d'ESXi presumeix d'«AES-256-CTR, X25519 and Kyber1024». El binari fa servir ChaCha8 i embolcall de claus amb RSA-4096; Rapid7 ho va identificar per les constants de rotació i per la sigma «expand 32-byte k». Ni X25519 ni Kyber enlloc. A la variant de Windows sí que hi ha el que diu —Kyber1024 amb clau pública de 1.568 bytes, que és la mida que li toca, i AES-256-CTR per al gruix—, o sigui que no és que no en sàpiguen: és que al xifrador que va al teu hipervisor no s'hi van molestar. Rapid7 ho resumeix dient que les notes de rescat resulten ser «més aspiracionals que exactes».

Emporta't aquest detall al comitè quan toqui discutir si es paga. L'actor menteix a la fitxa tècnica del seu propi producte, on mentir no li aporta res; la promesa de tornar-te les dades surt de la mateixa impremta. Aquest matí escrivíem sobre els que apareixen després oferint-se a rescatar-te; això és l'altre extrem de la mateixa corda.

La teva còpia és un objectiu, no el pla B

La variant de Windows del mateix afiliat atura serveis el nom dels quals contingui msexchange, vss, backup, veeam i sql, i executa wbadmin DELETE SYSTEMSTATEBACKUP, també amb -deleteOldest. Veeam hi surt pel seu nom. Porta a més una funció experimental per a Hyper-V: Get-VM | select VMId, Name | ConvertTo-Json per inventariar i Stop-VM -Force -TurnOff per apagar en sec.

Traduït: la còpia que s'administra amb les mateixes credencials que tota la resta no és una còpia, és una altra carpeta. Ja vam escriure sobre el cas extrem d'això —el servidor de còpies ficat al domini que ha de restaurar— i continua sent la dependència circular que més ens trobem. El que sí que aguanta: retenció que el mateix administrador no pot escurçar, poda executada al servidor de còpies i no al client, credencials diferents de les del domini i, com a mínim, una còpia que cap procés de producció pot abastar.

«Doncs me'n vaig a Proxmox»

Ens ho diuen sovint, i ho entenem, però no. Halcyon va documentar la variant Linux de Pay2Key —detectada a finals d'agost de 2025— amb lògica escrita a mà per a Proxmox: comprova que existeixi /etc/pve, inventaria amb pvesh get /cluster/resources, atura màquines i contenidors amb qm stop --skiplock i pct stop --skiplock, i a les còpies els treu primer el pestell amb pvesh set .../content/<backup> --protected 0 per després esborrar-les amb pvesh delete. D'això ja en vam parlar amb el codi de pve-storage al davant: el flag protected de Proxmox no és un cadenat.

Una migració de VMware a Proxmox es decideix per cost, per llicències i per arquitectura, i motius n'hi ha de sobres aquests dos anys. Però si algú l'està justificant al comitè amb l'argument de la seguretat, aquell argument cau amb l'anàlisi de Halcyon damunt la taula: el que avui hi ha menys és xifradors fets per a Proxmox, i la quota de mercat de l'atacant de torn no és una capa de la teva defensa.

El que canvia el resultat aquesta setmana

• Treure el pla de gestió de la xarxa plana: vCenter, els hosts, la interfície del PVE, els iDRAC/iLO. És el més avorrit de la llista i el que més canvia el desenllaç.
• Comptes nominals i MFA a vCenter i a Proxmox. Res de contrasenya de root que sap mitja empresa.
• Mode lockdown, SSH apagat tret de finestra amb motiu, i revisar qui hi ha a DCUI.Access i a la llista d'Exception Users: és on es colen els accessos que et pensaves tancats.
• Els registres del host, fora del host. Si et desfiguren la interfície de gestió, el que va passar abans ha de ser en una altra màquina.
• Una restauració cronometrada d'una màquina gran. No «verificar la còpia»: arrencar-la i mirar el rellotge.

Quan no faríem res d'això

Si tens tres hosts, una cabina i dues persones d'IT, no et posis a refer l'arrencada segura dels hosts aquesta setmana. execInstalledOnly ja ve posat a 8.x, i on grinyolarà és el dia que un fabricant et demani executar el seu instal·lador solt o posar un VIB sense signar: llavors tocarà decidir, i aquella decisió mereix estar escrita. Comença pel primer punt de la llista i per l'últim: la xarxa de gestió i el cronòmetre. Tampoc no hi ha res per comprar avui —els quatre primers són configuració— i si algú t'ofereix un EDR «per a l'hipervisor», la pregunta educada és on s'instal·la exactament l'agent.

Al final, la xifra d'aquesta anàlisi que acaba a la teva acta no és el 10 %: són els minuts que passen entre «això està xifrat» i «aquesta màquina torna a donar servei». El nostre últim simulacre de recuperació completa va ser de 14 minuts, i convé dir de què parlem: un simulacre planificat sobre la nostra pròpia infraestructura, no un incident real amb anàlisi forense pel mig, que no s'hi assembla gens. És una prova nostra i no un compromís de servei; el número de la teva empresa només el sabràs quan el cronometris. Si no l'has cronometrat mai, aquell RTO que figura al teu pla és una intenció, no una mesura.

Fonts: els tres trams de mida, el percentatge configurable amb valor per defecte 10, la frase sobre deixar inservibles els VMDK, l'extensió .xhsyw i les exclusions, la seqüència esxcli vm process list/kill, la desfiguració de /etc/motd i del Host Client, el desajust entre la nota (AES-256-CTR, X25519, Kyber1024) i el binari (ChaCha8 + RSA-4096), el Kyber1024 real de la variant Windows amb clau pública de 1.568 bytes, els serveis aturats, wbadmin DELETE SYSTEMSTATEBACKUP i la funció experimental d'Hyper-V — Rapid7, «Kyber Ransomware Double Trouble», 21-abr.-2026; el suport d'agents de tercers a ESXi i VCSA — Broadcom, article 330057; què conserven els usuaris de DCUI.Access i els Exception Users amb permisos d'administrador en lockdown normal i estricte (DCUI, ESXi Shell i SSH) — documentació de vSphere 8.0, Broadcom; que l'opció interna execInstalledOnly ve activada per defecte des d'ESXi 8.0 i la d'arrencada no — documentació de vSphere 8.0, i els hosts actualitzats a 8.x que hi apareixen desactivada — Broadcom, article 401376; l'historial del xifrat intermitent (LockFile a mitjan 2021 xifrant 16 bytes de cada 32 contra l'anàlisi khi quadrat, i la seva adopció posterior per Black Basta, ALPHV/BlackCat, PLAY, Agenda i Qyick) — SentinelOne Labs, oct.-2022; la lògica específica per a Proxmox de la variant Linux de Pay2Key (/etc/pve, pvesh, qm stop --skiplock, --protected 0) — Halcyon, «Pay2Key Linux». Els 14 minuts del simulacre són una dada interna d'everyWAN: és el que vam trigar nosaltres l'última vegada, no un compromís de servei.