Хакеры скомпрометировали облачный сервис Onamae Desktop Cloud в Японии — затронуто до 27 000 серверов

Японский провайдер облачных VPS-услуг Onamae Desktop Cloud сообщил о компрометации своей инфраструктуры. Злоумышленники получили доступ к среде провайдера и установили вредоносное ПО на серверы клиентов. По данным компании, потенциально затронуты до 26 739 серверов — это делает инцидент одним из наиболее масштабных для японского рынка облачных услуг. Инцидент важен не только для прямых клиентов провайдера. Компрометация инфраструктурыVPS-провайдера означает, что под угрозой оказались данные и сервисы, размещённые на арендованных серверах, а также учётные данные и ключи доступа, которые могли храниться на этих машинах. Для компаний, использующих внешние облачные площадки, это напоминание о необходимости сегментировать доверие к провайдеру и контролировать целостность своих систем независимо от заверений поставщика.

Подробности

Согласно опубликованной информации, хакеры скомпирометировали инфраструктуру Onamae Desktop Cloud и установили вредоносное ПО на серверы клиентов. Компания оценивает число потенциально затронутых серверов в 26 739. Конкретные сведения о векторе атаки, типе вредоносного ПО и сроках его присутствия в инфраструктуре в исходном сообщении не раскрываются. Публично не упоминаются ни идентификаторы CVE, ни сведения о том, использовалась ли уязвимость в самом сервисе или слабость конфигурации. На момент публикации источник не приводит данных о том, были ли затронуты данные клиентов за пределами серверов, и не уточняет, мог ли злоумышленник сохранять доступ после обнаружения инцидента. Для клиентов подобных сервисов ключевой риск связан с тем, что вредоносное ПО на сервере может обеспечивать持久ный доступ, перехват учётных данных и горизонтальное перемещение внутри инфраструктуры клиента. Даже если провайдер заявляет об устранении угрозы, арендованные машины следует рассматривать как потенциально скомпрометированные до проведения собственной проверки.

Что делать

Клиентам Onamae Desktop Cloud и аналогичных VPS-провайдеров рекомендуется незамедлительно провести проверку своих серверов: искать признаки несанкционированного доступа, проверить целостность системных файлов и наличие подозрительных процессов, а также проанализировать журналы аутентификации и сетевых соединений. Все учётные данные, хранившиеся или использовавшиеся на серверах, следует считать потенциально скомпрометированными и провести их ротацию — в первую очередь пароли, SSH-ключи, API-токены и секреты приложений. Необходимо включить или проверить многофакторную аутентификацию (MFA) для всех административных доступов, ограничить доступ к серверам по IP-адресам и использовать VPN для управления инфраструктурой. При наличии резервных копий — проверить их на целостность и убедиться, что они не содержат вредоносных артефактов. Если на серверах обрабатывались персональные или регулируемые данные, следует оценить необходимость уведомления регулятора и затронутых лиц в соответствии с применимым законодательством. При обнаружении признаков компрометации рекомендуется изолировать затронутые машины, сохранить доказательства для расследования и при необходимости пересоздать серверы с нуля на чистых образах. Итог: инцидент демонстрирует, что компрометация провайдера становится точкой входа для атак на его клиентов, поэтому безопасность арендованной инфраструктуры нельзя полностью делегировать поставщику — собственный мониторинг и контроль доступа остаются обязательными.

Источник: BleepingComputer