Вот меня смущает пара моментов:
1 двойной амперсанд перед shutdown, как бы намекает, что система начнёт выключаться только в случае корректного выключения VB. Подумайте - оно Вам так надо? или пофиг? Если нужно вырубать комп не зависимо от кода завершения виртуалки, то лучше использовать ;
2. Теперь про пароль. Мне кажется не лучшим решение рисовать пароль в скрипте и не вадно чей он. Я предлагаю осилить sudoers (для дебианоклонов предпочтительней /etc/sudoers.d/...) и разрешить запуск команды shutdown -h now пользователю vbox (или от чьего имени запускаете виртуалку).