Неделю назад мы писали, что Onamae Desktop Cloud японской GMO взломали и вредонос мог оказаться на 26 739 серверах клиентов. С тех пор история заметно обострилась.
Хронология
- 24 октября GMO подтвердила кражу данных. Атакующий потребовал выкуп ¥8 млрд (около $50 млн), компания отказалась. Каждому клиенту пообещали компенсацию ¥5000 (около $30).
- 26 октября GMO предупредила, что атакующие собираются слить данные и запустить шифровальщик, заранее размещённый на серверах клиентов.
- 27 октября компания попросила клиентов до полудня отключить ПК от интернета, выключить их и отсоединить все кабели. Вместе с Trend Micro GMO начала сканировать системы клиентов на остатки вредоноса.
- В тот же день атакующий опубликовал данные компании и клиентов. GMO проверяет их подлинность и допускает дополнительную компенсацию.
Что с шифровальщиком
По данным BleepingComputer, на машинах клиентов шифровальщик так и не сработал. GMO пообещала заменить ПК, если они всё же пострадают, предупредила о судебных мерах против распространения слитых данных и повторила, что платить не будет.
Почему это важно
Это редкий случай, когда провайдер облачных рабочих столов просит клиентов физически отключить машины. Он хорошо показывает риск управляемых сред: доступ к платформе даёт атакующему доступ сразу ко всем клиентам.
Что делать клиентам
Следовать инструкциям GMO, сменить пароли от всего, что хранилось или вводилось на облачных столах (включая торговые счета MetaTrader), и завершить активные сессии.
A week ago we reported that GMO’s Onamae Desktop Cloud in Japan had been breached and malware might be on 26,739 customer servers. The story has escalated sharply since then.
Timeline
- October 24: GMO confirmed data theft. The attacker demanded a ¥8 billion ransom (about $50 million), which GMO refused. Each customer was promised ¥5,000 (about $30) in compensation.
- October 26: GMO warned that the attackers planned to leak data and trigger ransomware they had planted on customer servers.
- October 27: The company told customers to disconnect their PCs from the internet, shut them down and unplug all cables before noon. With Trend Micro, GMO began scanning customer systems for remaining malware.
- The same day, the attacker published company and customer data. GMO is verifying it and may offer additional compensation.
What about the ransomware
According to BleepingComputer, no ransomware actually ran on customer machines. GMO offered replacement PCs if any are damaged, warned of legal action against anyone spreading the leaked data, and repeated that it will not pay.
Why it matters
It is rare for a cloud desktop provider to ask customers to physically disconnect machines. The case shows the risk of managed environments: access to the platform gives an attacker reach into every customer at once.
What customers should do
Follow GMO’s instructions, change passwords for everything stored or typed on the cloud desktops (including MetaTrader trading accounts), and end active sessions.