IDC Frontier: Ransomware-Angriff über offene Software

Die IDC Frontier, die Cloud-Tochter von SoftBank, veröffentlichte am Dienstag (27.) den siebten Bericht über den Ransomware-Angriff, der am 7. Oktober Teile der IDCF Cloud lahmlegte und 495 Unternehmen und lokale Regierungen in Japan betraf. Laut dem Dokument war der Eintrittspunkt eine Schwachstelle in einer Open-Source-Software, die im Authentifizierungssystem des Kundenportals, dem IDCF Cloud Portal, eingesetzt wird. Das Unternehmen hat den Namen der Komponente oder eine CVE-ID nicht bekannt gegeben.

Der von den Anbietern beschriebene Ablauf, berichtet von ITmedia, Business+IT und der Agentur Jiji, war folgender: Der Angreifer gelangte über das Authentifizierungssystem in die VerwaltungsKonsole, erlangte Administratorrechte der Virtualisierungsplattform und schaltete dann virtuelle Maschinen von Kunden ab und verschlüsselte sie. Der Angriff begann gegen 3:40 Uhr morgens, Tokio-Zeit.

Was wurde offengelegt und was nicht

IDC Frontier gibt an, keine Hinweise darauf gefunden zu haben, dass Daten innerhalb der virtuellen Server der Kunden nach außen kopiert wurden. Der Kundenregister im Portal wurde jedoch unrechtmäßig in bis zu 71 Konten angesehen, im Vergleich zu 48 im vorherigen Bericht vom 14. Oktober. In bis zu 31 davon waren Namen oder E-Mail-Adressen enthalten. In bis zu vier Fällen wurden die Anmeldedaten von dem Eindringling geändert, und diese Kunden wurden einzeln kontaktiert.

Der Anbieter erklärte, dass kein Lösegeld gezahlt und nicht mit den Angreifern verhandelt wurde. Im Bericht vom 14. Oktober wurde angegeben, dass Snapshots für 194 der 495 betroffenen Kunden, die diese Funktion gebucht hatten, wiederhergestellt werden könnten.

Zu den angekündigten Maßnahmen gehören die Schaffung einer unabhängigen Einheit, die sich der Sicherheit widmet, die Einbeziehung von Open-Source-Software in den Umfang der Schwachstellentests, die Einführung eines Software-Komponenteninventars (SBOM) und die Migration der Authentifizierung zu einem externen Identitätsanbieter.

Der Ketteneffekt

Das Ausmaß des Vorfalls reicht über die Liste der direkten Kunden hinaus. JR East und ihr Kartenanbieter View Card gaben an, dass etwa 6,09 Millionen Kontoregistrierungen, meist E-Mail-Adressen, möglicherweise in Diensten, die auf der Plattform gehostet sind, offengelegt wurden. Regierungswebsites der Präfektur Ibaraki und der Provinzpolizei waren laut SoftBank, berichtet von der Agentur Kyodo, außer Betrieb.

Der Fall reiht sich in den von GMO Internet ein, das am 21. Oktober den Dienst Onamae.com Desktop Cloud aussetzte, nachdem ein schädliches Programm auf Kundenservern identifiziert wurde, wobei bis zu 26.739 Server potenziell betroffen sein konnten, laut dem Unternehmen. Diese Situation führte dazu, dass die Premierministerin Sanae Takaichi am 26. Oktober anordnete, dass das Kabinett innerhalb einer Woche ein Notfallpaket für Cybersicherheit vorbereiten solle.

Warum die Schwachstelle des Portals auch außerhalb Japans wichtig ist

Der technische Punkt des Berichts ist weniger exotisch als das Ausmaß des Schadens. Der Eindringling hat den Hypervisor nicht gehackt. Er gelangte über eine Open-Source-Authentifizierungsbibliothek im Self-Service-Portal, die fast jeder regionale Cloud-Anbieter über öffentliche Komponenten erstellt. Die Einbeziehung von Open Source in den Umfang der Schwachstellentests, die zu den Korrekturen zählen, zeigt, dass es bis zum Angriff nicht in diesem Umfang berücksichtigt wurde.

Es gibt Stimmen, die den Vorfall als Argument gegen regionale Anbieter und zugunsten der drei großen amerikanischen Clouds lesen. Das Argument hat jedoch Grenzen: AWS, Microsoft und Google sind ebenfalls von Open Source-Komponenten abhängig, und Microsoft hatte 2023 einen Schlüssel zur Signatur gestohlen, der von der Gruppe Storm-0558 verwendet wurde, um auf Kunden-E-Mails zuzugreifen. Die relevante Unterscheidung ist eine andere: die Größe des Teams, das diese Abhängigkeiten entwirft und testet, und ob die VerwaltungsKonsole von der Kundenauthentifizierung getrennt ist.

In der Europäischen Union verpflichtet die NIS2-Richtlinie Cloud-Anbieter bereits zur Verwaltung von Risiken in der Software-Lieferkette und zur Abgabe einer ersten Mitteilung an die Behörden innerhalb von 24 Stunden, nachdem sie von einem signifikanten Vorfall erfahren. Ein Fall wie der der IDCF Cloud würde seit dem ersten Tag in diesen Regelungsrahmen fallen.

In Brasilien gibt die Resolution CD/ANPD Nr. 15 von 2024 den Verantwortlichen drei Werktage Zeit, um Vorfälle mit personenbezogenen Daten zu melden. Die Verpflichtung gilt für jeden Kunden und nicht für den Cloud-Anbieter. Ein Angriff, der Hunderte von betroffenen Kunden hat, wie bei der IDCF Cloud, würde Hunderte von Unternehmen gleichzeitig zur Benachrichtigung der ANPD zwingen, wobei alle von Informationen abhängen, die nur der Anbieter hat.

Der Bericht von IDC Frontier benötigte drei Wochen, um die Ursache zu benennen, und benennt die Komponente noch nicht. Für diejenigen, die regionale Clouds in Anspruch nehmen, hat sich die Frage an den Anbieter gewandelt: nicht mehr ob er Backups hat, sondern wer die Open-Source-Software im Login-Portal testet und wie oft.