Хакери внедриха зловреден софтуер в японски облачни сървъри, принуждавайки доставчика да спре услугата си

Хакери внедриха зловреден софтуер в сървърните среди на клиенти на японската услуга Onamae.com Desktop Cloud, което накара доставчика да започне спиране на сървърите във всички планове на услугата.

Компанията посочи 26 739 сървъра като потенциално засегнати, пораждайки опасения относно съхраняваните данни и данните за вход. Тази цифра описва възможния обхват, а не потвърден брой заразени системи.

Доставчикът потвърди наличието на зловредните програми на 20 октомври 2026 г. и започна да спира клиентските сървъри от 4:00 ч. сутринта японско време на 21 октомври.

Официалното известие за инцидента гласи, че спирането цели предотвратяване на по-нататъшни щети. В съобщението не се посочва дата за рестартиране, оставяйки клиентите без достъп, докато разследването продължава.

Onamae идентифицира зловредния софтуер в някои клиентски сървърни среди и предупреди, че информацията, съхранявана в тези системи, може да е била прегледана.

Публичните констатации обаче не назовават зловредния софтуер, не обясняват неговите функции, нито описват как атакуващите първоначално са получили достъп. Оповестяването потвърждава проникване, но оставя веригата на атаката неизяснена.

Хакери внедриха зловреден софтуер в японски облачни сървъри, принуждавайки доставчика да спре услугата си

Спирането обхваща всички планове на Onamae.com Desktop Cloud, а не само сървърите, където са потвърдени зловредни програми. Клиентите не могат да използват услугата, докато сървърите им са спрени.

Реакцията напомня за предупреждението за аварийно спиране на сървъри на ShareFile, въпреки че този отделен случай включваше превантивна реакция на заплаха, а не потвърдено откриване на зловреден софтуер като тук.

За клиентите непосредственият проблем съчетава загубен достъп с несигурност относно информацията, съхранявана на наетите от тях сървъри. Onamae не е идентифицирала публично засегнатите файлове, акаунти или приложения.

Тя също така не е заявила дали атакуващите са копирали данни на друго място. Следователно евентуалният преглед на информация не трябва да се докладва като потвърдена кражба на данни.

Компанията съобщи, че не е открила потвърдено изтичане на личната информация на клиентите, която съхранява, нито потвърдена злоупотреба с информация, която може да е била прегледана.

Отделно тя заяви, че не съхранява данни за плащания, включително данни за кредитни карти. Тези твърдения не премахват предупреждението за данните вътре в клиентските сървъри.

Техническите подробности остават ограничени

Onamae не е разкрила входна точка, уязвимост в сигурността или посочен извършител. Нейното известие също така не установява дали зловредните програми са откраднали пароли, осигурили са отдалечен достъп или са извършили друго действие.

Определянето на инцидента като атака с рансъмуер, атака по веригата за доставки или кампания на позната група би надхвърлило наличните доказателства.

Облачният зловреден софтуер може да се прицели в поверителни данни, съхранявани в хостваните системи. В отделен случай доклади за кражба на идентификационни данни от облачни сървъри описаха зловреден код, създаден за събиране на данни за достъп до облака.

Този пример обяснява по-широкото безпокойство около компрометирането на сървъри, но не предоставя доказателства, че същите инструменти или нападатели са били замесени в Onamae.

Искането на доставчика за промяна на данните за вход прави компрометирането на идентификационните данни непосредствен проблем, дори и без публикуван анализ на зловредния софтуер.

Компанията специално помоли клиентите да променят информацията за удостоверяване, съхранявана или използвана на сървърите. Тази инструкция обхваща потенциален път за по-нататъшен достъп до акаунти, а не доказателство, че всяка запазена парола е била открадната.

Потребителите трябва незабавно да последват инструкцията на Onamae за подмяна на изложените данни за вход и да променят съвпадащите пароли в други услуги.

Отделният пробив с идентификационни данни за архивиране на ConnectWise показа как компрометирана тайна на доставчик позволи неоторизиран достъп в клиентски среди. Сравнението подчертава защо данните за достъп са важни; то не установява как е започнал този инцидент.

Onamae също така предупреди за фишинг имейли и подозрителни съобщения, експлоатиращи инцидента. Компанията заяви, че никога не би поискала пароли или информация за кредитни карти по имейл или по телефона.

Клиентите, изправени пред прекъсване на услугата, трябва да се отнасят с повишено внимание към такива искания, особено когато в съобщение се твърди, че споделянето на информация за акаунта е необходимо за възстановяване на достъпа.

Съобщенията с тематика за сигурност сами по себе си могат да се превърнат във входна точка. Доклади за фишинг атаки с тема passkey описват престъпници, представящи се за екип по поддръжка, за да прихванат облачен достъп.

Предупреждението на Onamae е превантивно: известието не потвърждава, че свързана фишинг кампания вече е насочена към клиентите.

Indicators of compromise (IoCs):-

Note: IP addresses and domains are intentionally defanged (e.g., [.]) to prevent accidental resolution or hyperlinking. Re-fang only within controlled threat intelligence platforms such as MISP, VirusTotal, or your SIEM.