IDC Frontier: una falla nell'open source dietro il portale IDCF Cloud ha aperto la strada al ransomware

IDC Frontier ha concluso l'indagine, condotta insieme a una società di sicurezza esterna. L'analisi ha riguardato la via dell'intrusione, i log di accesso e autenticazione, i programmi dannosi e le impostazioni lasciate dall'attaccante, oltre a eventuali tracce di dati usciti dal sistema. L'azienda non ha indicato il nome del software open source, la versione né un identificativo CVE.

Il portale resta offline in tutte le regioni. IDC Frontier non ha fissato una data per il ripristino completo del servizio e nel frattempo svolge per i clienti le principali operazioni che prima passavano dal portale.

Come l'attaccante ha raggiunto la piattaforma di virtualizzazione

Secondo l'azienda, una terza parte ha sfruttato una vulnerabilità in un software open source usato dal sistema di autenticazione del portale IDCF Cloud. Da lì l'attaccante è passato attraverso la console di gestione e ha ottenuto privilegi di amministratore sulla piattaforma di virtualizzazione. Poi ha fermato i server virtuali dei clienti e ha cifrato i server stessi.

IDC Frontier ha dichiarato a Nikkei xTECH che una versione corretta del software era stata rilasciata diverse settimane prima dell'interruzione e che l'attacco è arrivato prima che venisse applicata.

BleepingComputer ha diffuso lo screenshot di un messaggio lasciato sulla console della piattaforma. Il messaggio sosteneva che l'operazione era durata sette minuti e aveva raggiunto quasi 240 hypervisor.

"October 7, 2026. Seven minutes. Exactly seven minutes is what it took to turn your entire East Japan Region one into ciphertext..."

Che cosa è stato colpito

IDC Frontier riferisce che l'attacco ha coinvolto 495 aziende ed enti locali con contratti legati all'ambiente colpito. Le zone interessate sono tesla, henry, pascal e joule. Il resto della regione East Japan Region 1, le altre regioni, IDCF Cloud TypeS e IDCF Private Cloud non hanno subito conseguenze a livello di servizio.

Il disservizio è iniziato intorno alle 03:40 JST del 7 ottobre. IDC Frontier ha individuato la causa in un attacco ransomware di terzi alle 11:42 dello stesso giorno. Ha scollegato le apparecchiature di storage nelle quattro zone e ha tagliato i collegamenti di rete tra il portale e l'esterno in tutte le regioni.

Recupero e dati di backup

Ora i dati di backup snapshot si possono recuperare per 206 dei clienti colpiti, in aumento rispetto a 194. Il dato di 194 risaliva al 14 ottobre, quando l'azienda aveva annunciato di aver confermato il recupero per i clienti che avevano usato la funzione snapshot. Si tratta di circa il 42% dei clienti colpiti. IDC Frontier precisa che il ripristino dei server non è completo e che il recupero dei dati archiviati resta difficile.

L'azienda ha riattivato il servizio IDCF Cloud Backup il 18 ottobre. Insieme alla capogruppo SoftBank Corp. sta sostenendo la migrazione verso ambienti alternativi e il recupero dei backup.

I registri del portale

Le consultazioni non autorizzate nel portale hanno riguardato i dati di registrazione di un massimo di 71 clienti, in aumento rispetto ai 48 del rapporto precedente. Per un massimo di 31 di loro i dati includevano nomi di persona, oppure indirizzi email che possono contenere nomi di persona. L'attaccante ha cambiato fino a 4 password di accesso, che l'azienda ha poi reimpostato.

IDC Frontier afferma di non aver trovato tracce delle informazioni interrogate al di fuori del sistema. Continua a non rilevare esfiltrazioni di dati dai server virtuali dei clienti. Dichiara inoltre di non aver avuto contatti con l'attaccante e di non aver pagato alcun riscatto.

Cosa intende cambiare IDC Frontier

IDC Frontier prevede di sostituire il sistema di autenticazione con il servizio di un identity provider esterno, di limitare le connessioni al portale agli indirizzi IP dei clienti e di richiedere l'autenticazione a più fattori. Vuole anche gestire in modo centralizzato i dati di configurazione del software e confrontarli automaticamente con le informazioni sulle vulnerabilità. Fisserà nelle proprie regole i piani di valutazione e la loro frequenza, includendo il software open source.