Компания Rackspace Technology, провайдер облачных услуг, раскрыла причины масштабного инцидента, из-за которого пришлось отключить службу Microsoft Exchange. Как сообщает ресурс Datacenter Dynamics, причиной сбоя послужил эксплойт для уязвимости «нулевого дня».

Хакерская атака была организована в начале декабря 2022 года. Компания заявила, что причиной послужило проникновение в IT-инфраструктуру программы-вымогателя. Справиться с последствиями инцидента Rackspace не может несколько недель, а службу Microsoft Exchange пришлось отключить. Калифорнийская Cole & Van Note уже подала коллективный иск против Rackspace в связи с недоступностью облачных сервисов.

Источник изображения: Rackspace

Как теперь стало известно, для проведения атаки злоумышленник использовал ранее неизвестный эксплойт для уязвимости, описанной в бюллетене Microsoft CVE-2022-41080. Изначально говорилось, что брешь позволяет злоумышленнику повысить привилегии в атакуемой системе. Но затем выяснилось, что дыра может использоваться для удалённого выполнения произвольного кода (CVE-2022-41082) через Outlook Web Access (OWA). Атака было проведена с использованием зловредов семейства PLAY (PlayCrypt). Аналогичные атаки проводятся с лета 2022 года, нацелены они на организации в Латинской Америке, Европе и Индии.

Rackspace опровергла предположения о том, что первопричиной инцидента стал эксплойт ProxyNotShell. Сторонний эксперт сообщил Dark Reading, что Rackspace воздерживалась от применения патча для ProxyNotShell из-за опасений по поводу возможных «ошибок аутентификации», которые, предположительно, могли вывести из строя её службы Exchange. В результате, это промедление обернулось масштабным сбоем, хотя компания в итоге и реализовала рекомендованные Microsoft меры безопасности.

Что касается сервисов Hosted Exchange, то возобновлять их работу Rackspace не планирует. Компания всё ещё работает над восстановлением пользовательских данных. Говорится, что из почти 30 тыс. пользователей Hosted Exchange злоумышленник получил доступ к PST-файлам 27 клиентов. Для более половины пострадавших данные восстановлены частично или полностью, но возможностью их загрузки мало кто воспользовался. «Это указывает нам на то, что многие из наших клиентов имеют локальные резервные копии или архивы, а поэтому не нуждаются в восстановленной информации», — подчёркивается в сообщении.

Южнокорейская интернет-компания Kakao анонсировала план компенсации пользователям её мессенджера KakaoTalk, пострадавшим из-за пожара в ЦОД SK C&C в октябре прошлого года. План предусматривает раздачу трёх пакетов смайлов в качестве общей компенсации всем пользователям мессенджера KakaoTalk.

Следует отметить, что из трёх «подаренных» наборов эмодзи лишь один предоставлен в полностью бесплатное пользование, а срок бесплатного пользования остальных истекает через 90 дней. Компания также предложила 3 млн ваучеров на бесплатный доступ в течение одного месяца к своей службе резервного копирования данных Talk Drawer Plus. После окончания бесплатного периода пользователи будут автоматически подписаны на платную версию службы.

Изображение: KakaoTalk

Кроме того, предпринимателям, сообщившим об убытках из-за сбоя в размере менее 300 тыс. вон ($240), будет выплачена компенсация ущерба в размере 30 тыс. вон ($24), а если заявленный убыток составил менее 500 тыс. вон ($399,2), выплата составит 50 тыс. вон ($39,92). Те, кто сообщил о потере доходов из-за сбоя выше 500 тыс. вон, могут получить дополнительную компенсацию после того, как будет проведена проверка их заявлений. Также компания предоставит два купона для платформы Kakao Makers.

Пожар привёл к остановке 32 тыс. серверов, прекратили работу ключевые сервисы Kakao, в том числе KakaoTalk с аудиторией в среднем 45 млн человек (население всей страны — почти 52 млн человек), произошли сбои в работе платёжной системы KakaoPay, почтовой службы, такси и других сервисов компании. На полное восстановление работоспособности всех сервисов потребовалось пять дней. На текущий момент данный инцидент является крупнейшим в мире ЦОД. Предложенные Kakao варианты компенсации были раскритикованы пользователями.

После масштабного сбоя в работе сервисов Alibaba Cloud Джеффу Чжану Цзяньфэню (Jeff Zhang Jianfeng) пришлось покинуть пост руководителя облачного сервиса. Как сообщает South China Morning Post, управление взял на себя сам генеральный директор Alibaba Group Holding Дэниэл Чжан Юн (Daniel Zhang Yong).

В результате сбоев в Гонконге и Макао почти 30 часов отсутствовал доступ к важнейшим облачным ресурсам. Это самый масштабный сбой облака Alibaba за последние 10 лет. На сегодня Alibaba Cloud является крупнейшим и, возможно, самым надёжным облачным сервисом в Китае, услугами которого пользуются многие американские и европейские компании, имеющие здесь представительства. Хотя на местный рынок не так давно вышла AWS, возможности компаний всё ещё несопоставимы.

Дэниэл Чжан Юн, занимающий пост председателя Alibaba, теперь занял и пост исполняющего обязанности президента Alibaba Cloud Intelligence и корпоративной коммуникационной платформы DingTalk. В письме сотрудникам он подчеркнул, что Alibaba Cloud не может позволить себе потерять доверие клиентов. Решение лично возглавить управление облачным сервисом только подчёркивает важность сервиса для всего холдинга, поскольку Alibaba Cloud предоставляет услуги не только клиентам, но и площадкам самой Alibaba вроде Taobao и Tmall, платёжным и логистическим системам и т.д.

Источник: Alibaba Cloud

При этом облачный сегмент становится всё важнее для Alibaba, поскольку площадки компании для ведения электронной коммерции в последнее время столкнулись с усиливающейся конкуренцией со стороны других игроков. Хотя сервис под руководством Джеффа Чжана Цзяньфэня потерпел очевидную неудачу, он остаётся важной фигурой для бизнеса Alibaba. В частности, за ним сохраняется пост главы научно-исследовательского подразделения Damo Academy, также он отвечает за руководство разработкой чипов в подразделении T-Head, на которые уже к 2025 году Alibaba намерена перевести пятую часть своих мощностей, и за инициативы, связанные с Интернетом вещей.

Чжоу Цзиньжень (Zhou Jingren), занимавший пост заместителя директора Damo Academy, стал техническим директором Alibaba Cloud, ещё одна важная перестановка — Ву Цзэминь (Wu Zeming) взял на себя роль технического директора Alibaba, не теряя прочих должностей в компании. Все новые назначения вступили в силу немедленно после их оглашения. При этом бывший технический директор Alibaba Чэн Ли (Cheng Li) — один из ветеранов компании, пришедший в Alipay в 2005 году и поднявшийся с самых низов в местной иерархии — будет ограничен только ролью «советника».

Компания Rackspace Technology, провайдер облачных услуг, по-прежнему не может устранить последствия серьёзного сбоя, из-за которого пришлось отключить службу Microsoft Exchange. Инцидент произошёл около двух недель назад из-за атаки программы-вымогателя.

Ранее сообщалось, что атака затронула только Exchange, но компания ввела дополнительные меры защиты для других сервисов. Впоследствии калифорнийская Cole & Van Note подала коллективный иск против Rackspace в связи с недоступностью облачных сервисов. Для расследования инцидента компания обратилась за помощью к специалистам CrowdStrike. Однако о сроках полного восстановления работоспособности служб ничего не известно.

Источник изображения: Rackspace

Восстановительные работы продолжаются и по сей день. В Rackspace отмечают, что примерно две трети клиентов переведены на платформу Microsoft 365. Тем не менее, пользователи продолжают жаловаться в социальных сетях на часы ожидания при обращениях в службу работы с клиентами, плохую поддержку и отсутствие информации о том, когда возобновится работа сервисов.

«Мы понимаем, насколько важно восстановление данных для наших заказчиков. В случае атак программ-вымогателей усилия по возобновлению работы занимают значительное время как из-за характера нападения, так и из-за необходимости соблюдения дополнительных протоколов безопасности. Мы будем продолжать держать вас в курсе событий», — заявляет Rackspace.

Калифорнийская Cole & Van Note сообщила о подаче коллективного иска против компании Rackspace Technology, провайдера облачных услуг. Причиной для судебного разбирательства стал масштабный сбой, из-за которого пришлось отключить службу Hosted Exchange. Сервисы Exchange подверглись атаке программы-вымогателя. В компании не раскрывают масштаб возможной утечки данных, отмечая, что расследование инцидента находится на начальной стадии.

В результате атаки и отключения сервисов рыночная капитализация Rackspace на текущей неделе упала с $1 млрд до $670 млн. Для сравнения: в прошлом году компания была оценена более чем в $5 млрд. Сейчас Rackspace устраняет последствия инцидента и пытается перевести клиентов на Microsoft 365. Пока не ясно, собирается ли компания платить выкуп злоумышленникам. Сведений о сроках восстановления работоспособности облачных служб также нет.

Источник изображения: Rackspace Technology

В поданном коллективном иске Cole & Van Note требует от Rackspace денежную компенсацию за нанесённый клиентам ущерб в связи с недоступностью сервисов. Кроме того, инициаторы разбирательства намерены получить гарантии того, что Rackspace внедрит необходимые протоколы безопасности, в частности, средства резервного копирования информации.

Компания Rackspace Technology, провайдер облачных услуг, пережила серьёзный сбой, из-за которого пришлось отключить службу Microsoft Exchange. Сервис был недоступен для заказчиков в течение нескольких последних дней, в том числе на минувших выходных.

В Rackspace не раскрывают, что именно послужило причиной масштабного сбоя. Отмечается лишь, что это связано с «инцидентом безопасности». Однако есть сведения, что сервисы компании подверглись атаке вредоносной программы — вероятно, вымогателя. «Мы столкнулись со значительным сбоем в нашей среде Hosted Exchange. Пришлось заблаговременно отключить службу, чтобы избежать дальнейших проблем», — говорится в официальном заявлении Rackspace.

Источник изображения: Rackspace Technology

Известно, что многие клиенты компании не могли связаться со службой поддержки в течение многих часов. Rackspace отмечает, что на протяжении последних дней она восстановила службы электронной почты для тысяч клиентов сервисов на базе Microsoft 365. В настоящее время восстановительные работы продолжаются.

В мае нынешнего года сообщалось, что Rackspace Technology рассматривает возможность продажи всего бизнеса или его части. Компания была основана в 1998 году в качестве хостинг-провайдера. В 2006-м она представила одну из первых публичных платформ PaaS. Позднее Rackspace объявила о намерении сосредоточить усилия на развитии облачных и мультиоблачных технологий, оптимизации и безопасности.

UPD: Rackspace подтвердила, что причиной сбоя стала атака зловреда, и привлекла к расследованию сторонних экспертов в области информационной безопасности. Предполагается, что атака затронула только Exchange, но компания ввела дополнительные меры защиты для других сервисов. Пока что она не готова назвать сроки полного восстановления всей функциональности сервисов Exchange.