Considerando que um suspeito de ataques de ransomware utilize máquinas virtuais para encobrir sua identidade durante esses ataques, julgue o item subsequente. A análise forense em

Gabarito

Certo

Comentário do professor

A afirmação é CERTA porque, em ambientes virtualizados, evidências relevantes não ficam apenas no sistema convidado. O hypervisor gera logs com eventos de criação, início e término de VMs, mapeamentos de rede e alocação de recursos que ajudam a correlacionar ações com atores.

Snapshots preservam o estado disk e, em alguns casos, a memória de uma VM em momentos específicos, permitindo recuperar arquivos apagados, chaves temporárias e processos em execução que documentam o ataque.

Os arquivos .vmdk contêm o disco virtual completo: sistemas de arquivos, binários, logs de aplicativos e artefatos do ransomware. Juntos, esses artefatos permitem reconstruir a sequência de eventos, identificar vetores de ataque e vincular atividades ao ambiente host.

Por fim, a coleta deve incluir camadas do host e do hypervisor seguindo cadeia de custódia e técnicas forenses apropriadas para preservar integridade das provas.