Infrastructure Veeam Backup & Replication (VBR) et plan de reprise d'entreprise Le score Hermes évalue l'infrastructure Veeam à 94 (CRITIQUE). Dans les architectures d'entreprise, les serveurs Veeam concentrent les comptes à hauts privilèges (comptes administrateurs de domaine, clés d'API d'hyperviseurs, secrets de stockage cloud) et pilotent le plan de restauration ultime. La compromission du serveur de sauvegarde permet aux adversaires d'anéantir la continuité d'activité et de garantir leur levier d'extorsion.
La maîtrise des frontières fonctionnelles de Veeam est indispensable tant pour la modélisation des menaces que pour le triage DFIR. Veeam ne s’exécute pas comme un processus monolithique unique : il délègue ses opérations à des composants spécialisés.
Architecture des composants Veeam Backup & Replication (VBR) :
┌─────────────────────────────────────────────────────────────────────────────┐ │ Serveur de sauvegarde Veeam (Control Plane) │ │ ┌──────────────────────┐ ┌──────────────────────┐ ┌──────────────────────┐ │ │ │ Veeam Backup Service │ │ Veeam Broker Service │ │ Base de configuration│ │ │ │ (Veeam.Backup.Service│ │ (Port 6170 / 6171) │ │ (PostgreSQL / MSSQL) │ │ │ │ Port 9401) │ └──────────────────────┘ └──────────┬───────────┘ │ │ └──────────┬───────────┘ │ │ │ │ ┌──────────────────────┐ │ │ │ │ │ VeeamThreatHunterSvc │ │ │ │ │ │ (.NET Remoting 6175) │ │ │ │ │ └──────────────────────┘ │ │ └────────────┼─────────────────────────────────────────────────┼──────────────┘ │ │ Canaux │ (RPC de gestion / API REST) │ Requêtes de contrôle │ │ d'identifiants ▼ ▼ ┌───────────────────────────┐ ┌───────────────────────────┐ │ Backup Proxy │ │ Backup Repository │ │ ┌───────────────────────┐ │ │ ┌───────────────────────┐ │ │ │ Veeam Transport Svc │ │ Flux de données │ │ Veeam Transport Svc │ │ │ │ (Veeam.Backup.MountSvc│ │ (TCP 2500-3300) │ │ (Veeam Data Mover) │ │ │ │ Port 6172) │─┼────────────────────►│ │ (Linux Hardened / XFS │ │ │ └───────────────────────┘ │ │ │ Dépôt immuable) │ │ │ Guest Interaction Proxy │ │ └───────────────────────┘ │ └─────────────┬─────────────┘ └───────────────────────────┘ │ ▼ ┌───────────────────────────┐ │ Charges protégées │ │ (VMware ESXi, Hyper-V, │ │ Agents Windows/Linux) │ └───────────────────────────┘Le serveur de sauvegarde orchestre les flux de réplication, la planification des tâches, le catalogage et la gestion de l’infrastructure.
Veeam.Backup.Service.exe : le moteur d’administration central s’exécutant en tant que LocalSystem ou via un compte de service dédié. Il pilote l’exécution des tâches, synchronise les proxys et dialogue avec la base de données. Il écoute sur le port TCP 9401.Veeam.Backup.BrokerService.exe : assure la liaison entre la console d’administration graphique, les modules PowerShell et le moteur sous-jacent via les ports TCP 6170/6171.VeeamThreatHunterSvc.exe : service introduit dans les versions récentes (VBR v12.x) pour analyser à la volée l’entropie des flux de données, traquer les extensions malveillantes et évaluer les règles YARA. Il écoute sur le port TCP 6175 via .NET Remoting.Veeam.Backup.Configuration.Service.exe : gère les sauvegardes de configuration et les procédures de restauration après sinistre.Veeam.Backup.MountService.exe : installé sur les proxys et serveurs de montage pour gérer les montages vPower NFS, l’indexation granulaire des fichiers invités et la restauration instantanée de machines virtuelles. Il écoute sur le port TCP 6172.reflink) et attributs immuables natifs (chattr +i). Il utilise des identifiants à usage unique lors du déploiement initial pour interdire toute prise de contrôle depuis le serveur de sauvegarde.Le tableau ci-dessous récapitule les ports réseau critiques, les démons associés et les vecteurs d’exploitation correspondants. Les équipes de sécurité doivent appliquer un filtrage réseau strict autour de ces flux.
| Port / Protocole | Démon à l’écoute | Rôle du composant | Enjeu de sécurité et vecteurs d’attaque |
|---|---|---|---|
6170 / TCP | Veeam.Backup.BrokerService.exe | Serveur de sauvegarde | API broker pour la console d’administration et les points de terminaison REST. |
6172 / TCP | Veeam.Backup.MountService.exe | Serveur de montage / Proxy | Service de montage vPower NFS. Cible de CVE-2024-40711 (RCE pré-authentification par désérialisation binaire). |
6175 / TCP | VeeamThreatHunterSvc.exe | Serveur de sauvegarde | Canal binaire .NET Remoting pour la détection de malwares. Exploité dans CVE-2026-44963 via le contournement ObjRef. |
9392 / TCP | VeeamEnterpriseManagerSvc.exe | Enterprise Manager | API REST et portail web de gestion centralisée. Cible historique de contournements d’authentification (CVE-2024-29849 via SAML SSO). |
9401 / TCP | Veeam.Backup.Service.exe | Serveur de sauvegarde | Canal de gestion TCP principal. Exploité par CVE-2023-27532 pour la fuite non authentifiée d’identifiants chiffrés. |
9380 / TCP | VeeamDeploymentService.exe | Serveur / Proxy | Service de déploiement et de distribution. Exploité dans CVE-2022-26500 et CVE-2022-26501 pour exécuter du code à distance. |
2500 - 3300 / TCP | VeeamDataMover.exe / veeamtransport | Dépôts et proxys | Canaux dynamiques de transfert de flux entre proxys sources et dépôts cibles. |
5432 / TCP | Instance PostgreSQL | Serveur de base de données | Moteur de base de données par défaut depuis VBR v12+. Stocke la configuration et les secrets chiffrés. |
1433 / TCP | Instance Microsoft SQL Server | Serveur de base de données | Moteur hérité pour VBR v11 et instances migrées. |
Pour orchestrer les sauvegardes sur l’ensemble du système d’information, Veeam mémorise les identifiants les plus sensibles de l’infrastructure :
Mécanisme de protection des secrets dans la base Veeam :
┌─────────────────────────────────────────────────────────────┐ │ Identifiant stocké (Admin de domaine / Compte root ESXi) │ └──────────────────────────────┬──────────────────────────────┘ │ ▼ ┌─────────────────────────────────────────────────────────────┐ │ Chiffrement Protected Storage : │ │ - Microsoft DPAPI (CryptProtectData) │ │ - Périmètre : CRYPTPROTECT_LOCAL_MACHINE │ │ - VBR v12.1+ : sel aléatoire (entropie) en base de registre │ └──────────────────────────────┬──────────────────────────────┘ │ ▼ ┌─────────────────────────────────────────────────────────────┐ │ Table de la base de configuration : [dbo].[Credentials] │ │ - Bloc XML structuré : │ │ <Credentials user="..." password="<Encrypted_Base64>" /> │ └─────────────────────────────────────────────────────────────┘Le service Veeam s’exécutant en arrière-plan sans session interactive humaine, le déchiffrement des identifiants doit pouvoir s’effectuer de manière autonome par le système lors du lancement des travaux planifiés. Veeam recourt donc à DPAPI avec le périmètre CRYPTPROTECT_LOCAL_MACHINE.
Cette contrainte architecturale engendre des conséquences critiques pour la sécurité :
LocalSystem OU administrateur local sur le serveur VBR est en mesure de déchiffrer la totalité des mots de passe de la base.Veeam-Get-Creds ou SharpVeeamDecryptor.Dans les cyberattaques contemporaines, la phase de chiffrement n’intervient qu’en toute fin d’opération. La neutralisation de la sauvegarde se situe au cœur de la stratégie adverse.
Séquence d'exécution d'une attaque par ransomware :
[Étape 1 : Accès initial] └── Vulnérabilité passerelle VPN périmétrique (Cisco, SonicWall, Fortinet) │ ▼ [Étape 2 : Découverte et reconnaissance interne] └── Scan de ports ciblant Veeam : TCP 9401, 6172, 6175, 9392 └── Énumération Active Directory des SPN : "Veeam*", "VBR*" │ ▼ [Étape 3 : Neutralisation de Veeam et vol d'identifiants] ├── Exploitation d'une CVE (CVE-2023-27532 / CVE-2024-40711 / CVE-2026-44963) ├── Déchiffrement de la table Credentials -> Récupération des accès vCenter et AD └── Arrêt des planifications et suspension des services Veeam │ ▼ [Étape 4 : Sabotage et effacement des sauvegardes] ├── Purge des chaînes de sauvegarde : Remove-VBRBackup / Suppression sur disque ├── Altération des politiques de rétention └── Destruction des instantanés VSS : vssadmin delete shadows /all /quiet │ ▼ [Étape 5 : Chiffrement des hyperviseurs et serveurs] └── Déploiement du ransomware (Akira, Qilin, Fog) sur les datastores ESXiLes cybercriminels détruisent méthodiquement les sauvegardes pour deux raisons :
.vbk hors-ligne afin d’extraire et d’exfiltrer les données sensibles sans déclencher les alertes des serveurs de fichiers de production.Plusieurs groupes cybercriminels majeurs disposent d’un outillage spécifique dédié à l’exploitation des environnements Veeam.
Le groupe Akira (suivi par les équipes DFIR depuis mars 2023) concentre une part prépondérante de ses tactiques sur les serveurs Veeam Backup & Replication.
Accès initial et découverte
Les opérateurs d’Akira pénètrent généralement le réseau en exploitant des accès VPN sans authentification multifacteur. Une fois à l’intérieur, ils exécutent des outils d’énumération (NetScan, AdFind) spécifiquement paramétrés pour localiser les machines écoutant sur les ports TCP 9401 et TCP 6172.
Exploitation et vol de mots de passe
En 2023 et 2024, Akira a massivement exploité CVE-2023-27532 pour interroger l’API non authentifiée et dérober les secrets de la base. Dès la divulgation de CVE-2024-40711, Akira a incorporé l’exploit ciblant Veeam.Backup.MountService.exe (TCP 6172) afin d’obtenir un shell interactif NT AUTHORITY\SYSTEM.
Neutralisation des hyperviseurs
Une fois le serveur VBR sous contrôle, Akira extrait les comptes administrateurs vCenter. Les affiliés se connectent directement aux hyperviseurs ESXi en SSH, coupent les agents de sauvegarde Veeam et exécutent leur binaire de chiffrement Linux ELF directement sur les banques de données VMFS.
Sabotage des dépôts
Akira déclenche des scripts PowerShell exploitant le module Veeam (Remove-VBRBackup -Backup $b -FromDisk -Confirm:$false) ou ordonne le reformatage bas niveau des volumes de stockage connectés pour effacer toute trace des sauvegardes historiques.
Le groupe cybercriminel à motivation financière FIN7 a figuré parmi les premiers acteurs à industrialiser l’exploitation des failles Veeam :
POWERTRASH, DICELOADER) communiquant directement en raw TCP avec Veeam.Backup.Service.exe sur le port 9401 pour récupérer les blobs d’identifiants chiffrés et les exfiltrer vers leur infrastructure C2.Fin 2024 et début 2025, les laboratoires de recherche en cybersécurité (notamment Sophos et Huntress) ont analysé des vagues d’attaques des ransomwares Qilin et Fog exploitant la vulnérabilité CVE-2024-40711 :
Veeam.Backup.MountService.exe (port 6172).point ou point2 (net user point <password> /add && net localgroup administrators point /add).%TEMP%.Les retours d’expérience démontrent que la sécurité de l’infrastructure de sauvegarde ne peut reposer sur une simple protection de bordure. Les équipes défensives doivent appliquer quatre mesures structurelles :
chattr +i) et des identifiants de déploiement à usage unique. Même si le serveur VBR est intégralement compromis au niveau SYSTEM, l’attaquant ne peut ni purger ni modifier les sauvegardes immuables à travers le réseau.Veeam.Backup.Service.exe, Veeam.Backup.MountService.exe, VeeamThreatHunterSvc.exe) engendre des sous-processus d’exécution tels que cmd.exe, powershell.exe, net.exe ou certutil.exe.