Malware pode "escapar" de uma máquina virtual e infectar o computador hospedeiro?

Sim, é possível, mas é raro e depende de falhas específicas — não é o comportamento padrão de uma máquina virtual (VM). Normalmente, uma VM roda isolada do sistema hospedeiro por uma camada chamada hypervisor (VMware, VirtualBox, Hyper-V etc.), que separa memória, disco e processos entre a VM e a máquina real. Um malware dentro da VM, na teoria, fica contido ali.

O que existe são as chamadas falhas de VM escape (fuga de máquina virtual): vulnerabilidades no próprio hypervisor ou nos componentes de integração (como drivers de compartilhamento de área de transferência, pastas compartilhadas ou aceleração gráfica) que permitem que código malicioso rodando dentro da VM execute comandos no sistema hospedeiro. Já houve casos documentados (por exemplo, falhas exploradas em competições como o Pwn2Own), mas normalmente exigem: hypervisor desatualizado, recursos de integração ativados sem necessidade (como pastas compartilhadas ou clipboard compartilhado) e um exploit específico para aquela versão.

Na prática, para reduzir esse risco:

• Mantenha o software de virtualização sempre atualizado.
• Desative recursos de integração (compartilhamento de pasta, clipboard, drag-and-drop) quando não forem necessários — principalmente em VMs usadas para analisar arquivos suspeitos.
• Não trate a VM como uma "caixa mágica" imune a tudo — ela reduz o risco, mas não elimina.

Para uso corporativo (testar arquivo suspeito, ambiente de desenvolvimento isolado, etc.), VM continua sendo uma camada de proteção válida e recomendada — só não é 100% à prova de falhas quando o hypervisor está desatualizado ou mal configurado.