Toda empresa que informatizou a operação nos últimos dez anos acabou concentrando o negócio em poucos servidores. O sistema de gestão, o banco de dados dos clientes, a emissão fiscal, os arquivos do financeiro e o próprio backup convivem hoje dentro do mesmo punhado de máquinas virtuais, muitas vezes em um único armário de equipamentos na sala dos fundos. É prático, é barato e funciona bem — até o dia em que alguém de fora consegue a senha de administrador daquele conjunto.
Um relatório publicado pela Halcyon descreve exatamente esse dia. A empresa de pesquisa analisou uma versão do ransomware Pay2Key escrita para Linux e desenhada especificamente para ambientes Proxmox, plataforma de virtualização de código aberto que virou alternativa popular ao VMware. O ponto que interessa ao dono do negócio não é o nome do código, e sim a ordem das ações: primeiro ele derruba as máquinas virtuais, depois apaga os backups e só então começa a embaralhar o que sobrou.
O que foi descrito, sem jargão
Virtualização é o recurso que permite rodar vários servidores dentro de uma máquina física só. Cada servidor desses é uma máquina virtual, e o Proxmox é o programa que organiza o conjunto. Quem migrou de plataforma depois de 2023, quando a Broadcom comprou a VMware e a conta das licenças mudou, provavelmente ouviu esse nome do seu parceiro de TI.
Segundo a Halcyon, o código analisado é um programa de 64 bits para Linux, escrito em C++ e detectado pela primeira vez no fim de agosto de 2025. Ele só roda se conseguir privilégio de administrador total da máquina; sem isso, encerra sozinho. Quando entra com esse poder, verifica se existe uma pasta de configuração típica do Proxmox e, encontrando-a, usa a própria ferramenta de administração da plataforma para listar tudo: quais máquinas virtuais existem, em quais servidores e onde ficam guardados os arquivos. Em segundos, o invasor tem a planta do ambiente sem nunca ter visto a sua rede.
A partir daí o roteiro é metódico. Desliga as proteções de segurança do sistema operacional. Cria um agendamento para voltar a rodar caso alguém reinicie o servidor e mantém um vigia que reergue o processo se ele for interrompido. Derruba máquinas virtuais e contêineres ignorando a trava que a plataforma usa para impedir alterações durante migrações, cópias e capturas de estado. Encerra bancos de dados e programas de backup conhecidos, como Veeam, Bacula, Bareos, rsync, Restic e Duplicati. Só depois disso começa a cifrar arquivos.
O detalhe que muda o seu plano de recuperação
Existe um recurso no Proxmox que marca um backup como protegido, justamente para que ninguém o apague por engano ou por má-fé. A pesquisa mostra que esse código faz duas chamadas em sequência pela interface de administração: primeiro remove a marcação de protegido, depois manda apagar a cópia. A Halcyon afirma que nenhuma outra família de ransomware que ela acompanha havia mexido nas proteções nativas de backup nesse nível.
Traduzindo para a mesa do empresário: a sua cópia de segurança não some porque o vírus “achou os arquivos”. Ela some porque quem invadiu pediu educadamente ao seu próprio sistema que a apagasse, usando a credencial de administrador que conseguiu. Backup guardado no mesmo ambiente, administrado pela mesma senha e protegido pelo mesmo botão tem o mesmo destino do servidor.
Essa é a razão pela qual insistimos que backup com restauração testada não é sinônimo de “tem cópia rodando”. Cópia que vive no domínio administrativo do servidor é conveniência; cópia fora dele, com retenção que o administrador local não consegue encurtar, é recuperação. E cópia nunca restaurada é uma suposição, não um plano.
Por que isso interessa a uma empresa brasileira
A própria pesquisa observa que o Proxmox é bastante usado por pequenas e médias empresas e por prestadores de serviço de TI na América do Sul, na Europa, no Sudeste Asiático e no Oriente Médio. Ou seja, o ambiente descrito no relatório é o mesmo de muitas clínicas, escritórios, indústrias e redes de lojas por aqui, quase sempre cuidado por um parceiro de TI que atende vários clientes com as mesmas ferramentas.
Vale também entender quem está do outro lado. Pay2Key foi visto pela primeira vez no fim de 2020, em ataques rápidos contra organizações em Israel, entrando por acessos remotos comprometidos em ambientes Windows. Em agosto de 2024, FBI, CISA e o centro de crimes cibernéticos do Departamento de Defesa dos Estados Unidos avaliaram, em conjunto, que o grupo funciona como operação de informação ligada ao Irã. A atividade voltou em meados de 2025: pesquisadores contabilizaram pelo menos 51 pagamentos confirmados em quatro meses, somando mais de quatro milhões de dólares. Desde então, o grupo alega ter recebido mais de oito milhões de dólares de cerca de 170 vítimas no mundo.
Além disso, a operação voltou ao modelo de aluguel: quem executa o ataque é um afiliado, e a fatia repassada a ele subiu de 70% para 80% para competir com outros grupos. Isso importa: o alvo não é escolhido por importância política, e sim por oportunidade — uma porta aberta, uma senha reaproveitada, um acesso remoto exposto.
O que rever no seu ambiente
- Onde mora a cópia. Se o backup está no mesmo armazenamento e sob a mesma senha do servidor, ele não é um segundo lugar. Peça ao seu TI uma cópia fora daquele domínio administrativo.
- Quem tem poder de apagar. Liste quem tem acesso administrativo ao gerenciador de virtualização e ao repositório de backup. Costuma ser mais gente do que o dono imagina.
- Como se entra de fora. Acesso remoto publicado direto na internet segue sendo a porta favorita. Troque por VPN com segundo fator e trate a borda com um firewall corporativo bem configurado, não com o roteador que veio da operadora.
- Quem está olhando de madrugada. O roteiro do relatório derruba serviços, apaga cópias e sobrevive a um reinício. Isso deixa rastro. Monitoramento 24 horas existe para transformar rastro em telefonema antes do prejuízo.
- Quando foi o último teste de restauração. Se a resposta for “nunca” ou “não lembro”, esse é o item mais urgente da lista.
Uma conversa que o dono precisa puxar
Nenhum desses pontos é decisão técnica; todos são decisão de negócio. Quanto tempo a operação aguenta parada? Quais sistemas precisam voltar em duas horas e quais podem esperar dois dias? Quem assina a decisão de restaurar? Essas perguntas custam uma reunião; a ausência delas costuma custar semanas.
Um ponto de honestidade: nada aqui promete imunidade. O relatório descreve um código que usa criptografia forte e chaves individuais por arquivo, o que torna a recuperação sem a chave do atacante inviável na prática. Quando essa etapa acontece, discutir antivírus é tarde. O que decide o desfecho é o que existia antes — cópia intacta em outro lugar, gente vigiando e um plano de retomada que alguém já executou pelo menos uma vez em treino.
Fonte: halcyon.ai — Pay2Key Linux: Purpose-Built Proxmox VM and Backup Destruction, 2025.
O caso do ransomware em Proxmox não é um alerta sobre uma plataforma específica. É um lembrete de que a recuperação depende de camadas que precisam ser independentes entre si: quem hospeda, quem guarda a cópia e quem vigia. Quando as três dependem da mesma senha, a empresa tem uma camada só.
A Ragnatela IoT Solutions projeta e opera essa separação de camadas: nuvem privada em data center Tier III, backup com restauração testada, firewall e NOC com monitoramento 24 horas. Se você ainda não sabe onde está a sua segunda cópia, fale com a nossa equipe.
Perguntas frequentes
Minha empresa usa Proxmox. Devo trocar de plataforma?
Não é isso que a pesquisa sugere. O relatório mostra que os criminosos estudaram a plataforma e escreveram uma ferramenta sob medida para ela, aproveitando o privilégio de administrador que conseguiram. A decisão relevante não é trocar de produto, e sim revisar quem tem poder administrativo, onde a cópia de segurança está guardada e se ela já foi restaurada em teste.
O backup dentro do próprio ambiente de virtualização não basta?
Segundo a análise, o código remove a marcação de protegido dos backups e manda apagá-los pela interface de administração da própria plataforma. Uma cópia que responde à mesma credencial do servidor pode ser eliminada junto com ele. Por isso vale manter pelo menos uma cópia fora daquele domínio administrativo.
O que quer dizer backup com restauração testada?
Quer dizer que alguém já pegou a cópia, restaurou o sistema em um ambiente separado e conferiu se os dados voltaram utilizáveis, dentro de um prazo conhecido. Sem esse teste, a empresa tem um arquivo grande guardado, não um plano de retomada.
Quem costuma ser alvo desse tipo de ataque?
A pesquisa aponta que a plataforma é bastante usada por pequenas e médias empresas e por prestadores de serviço de TI na América do Sul, na Europa, no Sudeste Asiático e no Oriente Médio. O grupo também opera em modelo de aluguel, com afiliados executando as invasões. Na prática, a escolha do alvo tende a seguir a oportunidade: um acesso remoto exposto, uma senha reaproveitada.
