IDC Frontier: Schwachstelle in Open-Source-Software führte zu Ransomware-Angriff auf IDCF Cloud Portal

IDC Frontier hat die Untersuchung nach eigenen Angaben gemeinsam mit einem externen Sicherheitsunternehmen abgeschlossen. Sie umfasste den Weg des Eindringens, die Zugriffs- und Authentifizierungsprotokolle, die vom Angreifer hinterlassenen Schadprogramme und Einstellungen sowie mögliche Spuren eines Datenabflusses. Die Open-Source-Software, ihre Version und eine CVE-Nummer nennt das Unternehmen nicht.

Das Portal ist in allen Regionen weiterhin offline. IDC Frontier hat keinen Termin für die vollständige Wiederherstellung des Dienstes genannt und übernimmt für Kunden in der Zwischenzeit zentrale Aufgaben des Portals.

Wie der Angreifer auf die Virtualisierungsplattform gelangte

Ein Dritter nutzte eine Schwachstelle in Open-Source-Software aus, die das Authentifizierungssystem des IDCF Cloud Portals verwendet, so das Unternehmen. Von dort aus ging der Angreifer über die Managementkonsole vor und erlangte Administratorrechte auf der Virtualisierungsplattform. Anschließend stoppte er virtuelle Server von Kunden und verschlüsselte die Server selbst.

Gegenüber Nikkei xTECH erklärte IDC Frontier, eine korrigierte Version der Software sei mehrere Wochen vor dem Ausfall veröffentlicht worden. Angegriffen worden sei das System, bevor die Aktualisierung eingespielt war.

BleepingComputer veröffentlichte einen Screenshot einer Nachricht, die auf der Plattformkonsole hinterlassen wurde. Darin hieß es, die Aktion habe sieben Minuten gedauert und fast 240 Hypervisoren erreicht.

"October 7, 2026. Seven minutes. Exactly seven minutes is what it took to turn your entire East Japan Region one into ciphertext..."

Was betroffen war

Nach Angaben von IDC Frontier betraf der Angriff 495 Unternehmen und Kommunen, die Verträge für die betroffene Umgebung hatten. Betroffen waren die Zonen tesla, henry, pascal und joule. Der übrige Teil der Region East Japan 1, die anderen Regionen, IDCF Cloud TypeS und IDCF Private Cloud waren auf Dienstebene nicht betroffen.

Die Störung begann am 7. Oktober gegen 03:40 JST. Um 11:42 Uhr desselben Tages stellte IDC Frontier als Ursache einen Ransomware-Angriff eines Dritten fest. Das Unternehmen trennte die Speichersysteme in den vier Zonen ab und kappte in allen Regionen die Netzwerkverbindungen zwischen dem Portal und der Außenwelt.

Wiederherstellung und Backup-Daten

Snapshot-Backup-Daten lassen sich inzwischen für 206 der betroffenen Kunden abrufen, zuvor waren es 194. Die Zahl 194 stammte vom 14. Oktober, als das Unternehmen nach eigenen Angaben den Abruf für Kunden bestätigt hatte, die die Snapshot-Funktion genutzt hatten. Das sind rund 42 Prozent der betroffenen Kunden. Die Wiederherstellung der Server selbst ist laut IDC Frontier noch nicht abgeschlossen, und die Wiederherstellung gespeicherter Daten bleibt schwierig.

Am 18. Oktober nahm das Unternehmen den Dienst IDCF Cloud Backup wieder auf. Gemeinsam mit der Muttergesellschaft SoftBank Corp. unterstützt es die Migration in alternative Umgebungen und den Abruf von Backups.

Einträge im Portal

Unbefugte Abfragen im Portal betrafen die Registrierungsdaten von bis zu 71 Kunden, zuvor waren es 48 im früheren Bericht. Bei bis zu 31 von ihnen enthielten die Daten persönliche Namen oder E-Mail-Adressen, die persönliche Namen enthalten können. Der Angreifer änderte bis zu 4 Anmeldepasswörter, die das Unternehmen inzwischen zurückgesetzt hat.

IDC Frontier fand nach eigenen Angaben keine Spuren dafür, dass die abgefragten Informationen nach außen gelangt sind. Auch eine Exfiltration von Daten aus den virtuellen Servern der Kunden stellt das Unternehmen weiterhin nicht fest. Kontakt zum Angreifer habe es nicht gegeben, Lösegeld sei nicht gezahlt worden.

Was IDC Frontier ändern will

IDC Frontier will das Authentifizierungssystem durch den Dienst eines externen Identity-Providers ersetzen, Portalverbindungen auf die IP-Adressen der Kunden beschränken und Multi-Faktor-Authentifizierung verlangen. Außerdem will das Unternehmen Konfigurationsdaten von Software zentral verwalten und automatisch mit Schwachstelleninformationen abgleichen. Prüfpläne und ihre Häufigkeit sollen in den Regeln festgeschrieben werden, Open-Source-Software eingeschlossen.