【紧急深度】GMO旗下Onamae.com VPS遭大规模黑客入侵：2.6万台服务器关停、MT4凭据泄露与勒索站点“CORONAMNG.STORE”威胁全复盘

Tue, 27 Oct 2026 17:15:00 +0900

2026年10月，日本最大的互联网综合基础服务巨头GMO互联网集团旗下的Windows虚拟专用服务器（VPS）业务“Onamae.com 桌面云”（お名前.com デスクトップクラウド）突发灾难级安全事故。因黑客在底层虚拟化环境中植入恶意木马并系统性窃取机密认证信息，官方被迫于10月21日凌晨启动极端应急预案，对全线套餐共计26,739台云服务器执行强制物理断电关停。更为严峻的是，10月27日黑客组织公开上线了用于勒索示威与炫耀战果的独立站点“CORONAMNG.STORE”，引爆了亚太金融圈与网络安全界的最高级警报。本文将深入还原事件时间线、攻击链路解析以及危险站点背后的二次安全隐患。

1. 沦陷始末与灾难性影响面

“Onamae.com 桌面云”在日本外汇交易界拥有绝对统治地位，绝大多数散户与机构交易员均依赖该平台7x24小时不间断托管运行MetaTrader（MT4/MT5）自动化量化EA策略。

10月19日〜20日: 监控探针与用户反馈密集预警，多台虚拟机出现可疑计划任务与异常出网回连行为。
10月21日 04:00: 鉴于入侵深度已危及全网，GMO全面切断26,739台虚拟机电源，封锁控制台并无限期下架新购通道。
10月24日〜26日: 司法取证确认，恶意攻击载荷已针对性爬取虚拟机内储存的券商账户、交易接口秘钥及明文凭据。
10月27日: 黑客团伙高调推出公开站点“CORONAMNG.STORE”，宣示盗取成果并展开勒索讹诈，官方紧急发布最高安全警报。

2. 纵深攻击路径与虚拟化渗透复盘

专业安全团队的溯源表明，此次攻击并非针对孤立用户的弱口令爆破，而是直接攻破了云服务商的编排管理中枢或母机镜像链条。黑客获得了跨虚拟机下发指令的特权通道，批量植入轻量化内存采集器，直接从Windows LSASS内存、浏览器凭据管理器及用户桌面明文文本中定向抓取MT4/MT5的账户密码。

3. 勒索站点“CORONAMNG.STORE”的险恶陷阱

10月27日曝光的域名 CORONAMNG.STORE 是黑客用以制造舆论恐慌、勒索赎金及发布泄露样本的恶意节点。官方与反病毒机构已三令五申严禁任何人员点击访问。

绝对不可访问该站点的三大核心考量

水坑挂马与无感漏洞利用: 该恶意站点极可能挂载了浏览器0-Day漏洞利用代码，随意点击即可导致访问者的本地真实主机瞬间沦陷。
反向IP追踪与精准侧绘: 攻击者会记录所有访客的IP地址与指纹，将其编入高危受害者库进行针对性精准网络垂钓。
衍生黑灰产次生诈骗: 围绕该事件已涌现大量假冒“CORONAMNG.STORE查询泄露”的二次钓鱼网站，诱骗焦虑的投资者重复提交资金账户信息。

4. 行业反思与自动化交易安全底线