Onamae Desktop Cloud, de VPS-dienst van het Japanse bedrijf Onamae.com, is gehackt. Op tot 26.739 klantservers, bijna 27.000 in totaal, is malware geïnstalleerd door een onbevoegde derde partij. Onamae.com is de grootste domeinregistrar van Japan en onderdeel van GMO Internet Group, dat daarnaast webhosting- en DNS-diensten aanbiedt. De Desktop Cloud-dienst wordt vooral gebruikt voor geautomatiseerde valutahandel, bijvoorbeeld om de handelssoftware MetaTrader 4 continu te laten draaien.
Het bedrijf bevestigde de inbraak op 20 oktober. Over de aard van de geïnstalleerde malware of de manier waarop de aanvallers zijn binnengekomen, doet Onamae vooralsnog geen uitspraken.
Vanaf 21 oktober, 04.00 uur lokale tijd, begon het bedrijf met het stapsgewijs uitschakelen van klantservers om verdere schade te voorkomen. Sindsdien ligt de volledige Desktop Cloud-dienst stil, voor alle abonnementen. Een datum voor herstel is nog niet bekend.
Volgens Onamae zijn gegevens op de getroffen servers mogelijk blootgesteld, maar is er geen bewijs van daadwerkelijk misbruik of een lek. Betaalgegevens zoals creditcardnummers zouden niet zijn geraakt, omdat die op gescheiden infrastructuur staan. Het bedrijf zegt updates te geven zodra het onderzoek verder vordert.
Klanten krijgen het advies wachtwoorden en andere geheimen die op hun servers stonden zo snel mogelijk te wijzigen. Onamae waarschuwt ook voor phishingmails en ongevraagde telefoontjes die van de situatie kunnen profiteren, en benadrukt dat het zelf nooit per mail of telefoon om wachtwoorden of creditcardgegevens vraagt.
Voor wie zelf gebruikmaakt van een VPS bij een buitenlandse provider is dit vooral een les over het behandelen van inloggegevens. Draait een systeem bij een partij die slachtoffer wordt van zo’n inbraak, dan is het verstandig alle wachtwoorden en API-sleutels die erop stonden als gecompromitteerd te beschouwen, ook zolang er geen bevestigd misbruik is. Tweefactorauthenticatie op de eigen accounts en een actuele back-up buiten de getroffen omgeving voorkomen dat een hack bij de hostingpartij meteen tot eigen schade leidt.
Update 27 oktober: Moederbedrijf GMO Internet maakte bekend dat de aanvaller 8 miljard yen (ongeveer 50 miljoen dollar) losgeld eiste. GMO weigerde te betalen en keerde in plaats daarvan 5.000 yen (ongeveer 30 dollar) compensatie per klant uit. Op 26 oktober waarschuwde het bedrijf dat de aanvaller dreigde klantgegevens te lekken en een eerder op klantservers geplaatste ransomware-payload alsnog te activeren. GMO riep klanten met klem op om vóór 27 oktober 12:00 uur eerst een back-up te maken en daarna hun pc van het netwerk te halen, uit te schakelen en de netwerkkabel los te koppelen, in afwachting van herstelwerk samen met Trend Micro. Uiteindelijk lijkt de aanvaller de ransomware niet daadwerkelijk te hebben geactiveerd, maar publiceerde die wel bedrijfs- en klantgegevens; GMO onderzoekt nog de echtheid daarvan en overweegt aanvullende financiële compensatie. Klanten die toch ransomwareschade ondervonden, krijgen van GMO een vervangende pc aangeboden.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Host u zelf systemen bij een externe VPS-provider? Behandel na zo'n inbraak altijd alle wachtwoorden en sleutels die op de getroffen servers stonden als gecompromitteerd, ook zonder bevestigd misbruik.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.