Onamae Desktop Cloud: vulnerabilități semnalate, sesiuni active

Onamae.com Desktop Cloud este serviciul de servere virtuale Windows al GMO Internet (grupul GMO Internet Group, unul dintre cei mai mari registratori de domenii din Japonia), promovat ca mediu ideal pentru tranzacționarea automată pe piața valutară cu MetaTrader 4. Din 20 octombrie serviciul se află în centrul unui incident grav: un atacator a instalat programe rău intenționate în mediile clienților, a furat date și a cerut o răscumpărare. Potrivit GMO, serverele posibil afectate sunt 26.739.

Cele patru surse (BleepingComputer cu două articole, The Register și The Hacker News) urmăresc evoluția anunțurilor companiei. Cel mai important element tehnic este o recunoaștere: vulnerabilitățile exploatate fuseseră deja semnalate în interiorul GMO.

Cronologie

• 20 octombrie: GMO confirmă un acces neautorizat și instalarea de „programe rău intenționate” în unele medii de server ale clienților (BleepingComputer).
• 21 octombrie, ora 4:00 locală: începe oprirea treptată a serverelor clienților. Blocajul privește toate planurile, fără o dată de repornire. Datele de plată, păstrate pe o infrastructură separată, nu ar fi afectate.
• Zilele următoare: unii clienți semnalează operațiuni neautorizate pe conturile de trading. GMO consideră probabil ca parolele serviciilor de trading să fi fost văzute de terți și recunoaște că date ale clienților au fost scoase din companie (The Register).
• Cererea de răscumpărare: 8 miliarde de yeni, circa 50 de milioane de dolari. GMO refuză să plătească, deoarece plata nu ar garanta ștergerea datelor.
• 26 octombrie: GMO avertizează că atacatorul amenință să publice datele și să activeze un ransomware lăsat anterior pe serverele clienților (BleepingComputer).
• 27 octombrie: GMO le cere clienților să facă o copie de rezervă și apoi, până la prânz, să deconecteze PC-urile de la rețea, să le oprească și să scoată toate cablurile. Lucrează cu Trend Micro la curățare și confirmă că au fost publicate date ale companiei și ale clienților. Potrivit BleepingComputer, ransomware-ul nu pare să fi fost activat.
• 28 octombrie: The Hacker News relatează o recompensă de 1 milion de dolari oferită de GMO pentru identificarea celor responsabili. Din acel articol a fost disponibil doar titlul: informația provine dintr-o singură sursă.

Ce se știe din punct de vedere tehnic

Sursele nu indică CVE, vector de acces inițial, familii de malware sau indicatori de compromitere. Se știe însă că:

• într-o postare pe blog, citată de The Register, directorul general Masatoshi Kumagai scrie că sistemele serviciului aveau vulnerabilități deja semnalate de hackerii etici interni ai grupului. Contramăsurile erau în curs, dar răspunsul, încetinit de grija pentru disponibilitatea serviciului și de alte priorități, „nu a fost suficient de profund și de rapid”;
• potrivit BleepingComputer, printre informațiile expuse se află credențiale și date ale conturilor MetaTrader 4 și 5;
• GMO avertizează că unele aplicații de trading păstrează sesiunile active chiar și după schimbarea parolei. De aceea a cerut principalelor companii de trading să închidă din oficiu sesiunile active, să monitorizeze operațiunile neautorizate și să blocheze ordinele venite de la Onamae Desktop Cloud (The Register);
• parolele trebuie schimbate de pe un alt dispozitiv decât cel folosit pentru trading. Potrivit The Register, GMO consideră în pericol și dispozitivele personale ale utilizatorilor, dar sursele nu explică cum ar putea ajunge malware-ul la ele de pe serverele virtuale.

Kumagai menționează și ARTEX, un instrument autonom de testare de penetrare bazat pe IA. Potrivit unității de securitate a grupului, folosirea sa abuzivă se află la originea unor atacuri împotriva a circa 20 de companii japoneze. În textul citat de The Register, totuși, ARTEX nu este indicat drept cauză a acestei breșe.

Pentru vânătoarea de amenințări, faptele cunoscute privesc folosirea unor credențiale valide pe conturi (MITRE ATT&CK T1078 Valid Accounts) și un ransomware anunțat, dar neactivat (T1486 Data Encrypted for Impact). Sursele nu ajung pentru un lanț de atac mai precis.

De ce contează pentru companiile europene

Cazul arată două probleme care depășesc lumea tradingului. Prima: un furnizor de servere sau desktopuri virtuale găzduite concentrează riscul, pentru că o compromitere a infrastructurii sale ajunge la mii de clienți și la toate sesiunile deschise din mediile lor. A doua: schimbarea parolei nu este suficientă dacă sesiunile rămân valide.

Pentru entitățile supuse NIS2, securitatea lanțului de aprovizionare este una dintre măsurile articolului 21. Pentru entitățile financiare, DORA cere gestionarea riscului TIC legat de terți, cu planuri de ieșire de la furnizorii critici. Recunoașterea GMO privește și gestionarea vulnerabilităților: constatările unui test intern trebuie închise în termene precise, nu amânate de teama întreruperilor.

Ce să faci acum

Dacă tu sau colaboratorii tăi folosiți Onamae Desktop Cloud:

• schimbă parolele conturilor de trading și ale celorlalte servicii folosite de pe serverele virtuale, de pe un dispozitiv curat;
• închide toate sesiunile active din panoul brokerului sau cere-i asta echipei sale de suport, apoi verifică operațiunile și accesările recente;
• tratează ca expuse PC-urile folosite pentru conectare până când GMO încheie analiza: copie de rezervă offline, scanare completă și nicio conectare la rețeaua companiei până la verificare;
• ferește-te de emailuri și apeluri care folosesc incidentul drept pretext: GMO declară că nu cere niciodată parole sau date de card.

În general:

• include în procedurile de răspuns la incidente revocarea sesiunilor și a tokenurilor, nu doar schimbarea parolelor, și verifică ce aplicații critice permit asta;
• pentru conturile cele mai sensibile, folosește autentificarea multifactor și, acolo unde serviciul o oferă, o listă de adrese IP autorizate;
• pe desktopurile găzduite, limitează la strictul necesar clipboardul, unitățile și imprimantele partajate cu PC-ul local;
• stabilește termene pentru constatările testelor de penetrare interne și urmărește închiderea lor;
• cere furnizorilor de desktopuri și servere virtuale termene de notificare a incidentelor și o procedură de ieșire deja testată.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise ale mașinilor monitorizate și îți permite să izolezi de rețea un PC suspect până la analiză. ARX Expose semnalează conturile companiei apărute în breșe de date, util dacă printre informațiile publicate s-ar afla credențiale ale utilizatorilor tăi. ARX Sentry colectează jurnale și evenimente de la computere, servere și firewalluri, astfel încât accesările anormale ies repede la iveală.

Ultima actualizare: 28 octombrie 2026