Hoe ging de aanval in zijn werk?
Voor deze aanval maakten de cybercriminelen gebruik van de software VSA van het Amerikaanse bedrijf Kaseya. Daarmee kunnen managed serviceproviders (MSP’s) op afstand de systemen van hun klanten beheren. Op de eigen website bevestigt Kaseya dat het ‘helaas getroffen is door een geavanceerde cyberaanval’. Securitybedrijf Cisco meldt dat de aanvallers via de VSA-software een malafide automatische update wisten uit te rollen. Die update installeerde de
Het gaat hier om een zogeheten ‘supplychain-aanval’. Bij deze aanvalsmethode komen de cybercriminelen binnen via een derde partij die toegang heeft tot systemen en data van de betreffende organisatie. Iets vergelijkbaars gebeurde in maart bij softwarebedrijf SolarWinds. Cybercriminelen wisten toen malware toe te voegen aan een update voor de beheersoftware Orion.
Lees ook:
De aanval op Kaseya was overigens bijna voorkomen door een groep Nederlandse ethische hackers. Het Dutch Institute for Vulnerability Disclosure (DIVD) ontdekte enige tijd geleden een
'Benieuwd naar de laatste trends op het gebied van ransomware? Lees dan het blog
Wie zijn de daders?
De REvil-bende heeft de verantwoordelijkheid voor de aanval opgeëist in een bericht op hun site op het darkweb. Ze claimen dat er meer dan een miljoen systemen zijn besmet. “Als iemand wil onderhandelen over de universele decryptor: onze prijs is 70 miljoen dollar in bitcoins”, aldus de cybercriminelen. Na betaling beloven ze een tool beschikbaar te stellen die de bestanden van alle slachtoffers ontsleutelt. “Daarmee kan iedereen binnen een uur herstellen van de aanval.”
REvil, ook wel Sodinokibi genoemd, is een zeer succesvol voorbeeld van ransomware-as-a-service (RaaS). Hierbij wordt de gijzelsoftware als dienst aangeboden aan andere cybercriminelen. Deze ‘partners’ zijn verantwoordelijk voor de distributie van de malware. Een percentage van de opbrengst gaat automatisch naar de REvil-bende.
Lees ook:
Welke bedrijven zijn slachtoffer geworden?
De totale impact van de aanval is op het moment van schrijven nog niet te overzien. Volgens securitybedrijf Huntress zijn circa 30 MSP’s in de Verenigde Staten, Australië, Europa en Latijns-Amerika getroffen door de
Waarom werd Kaseya aangevallen?
Softwarebedrijven zoals Kaseya zijn een interessant doelwit voor cybercriminelen. Als zij een populaire beheertool weten te hacken, krijgen ze toegang tot de computers die daarmee beheerd worden. Kaseya heeft bovendien veel MSP-klanten die de IT-omgeving van hun eigen klanten beheren. Deze hack is dus een zeer effectief middel om in één keer grote aantallen organisaties aan te vallen.
Waarom vond de aanval nu plaats?
De timing van de aanval lijkt niet willekeurig. Sommige experts stellen dat bewust is gekozen voor het weekend van 4 juli. Dat is een nationale feestdag in de Verenigde Staten. Veel werknemers zijn dan vrij, wat gunstig is voor cybercriminelen. Problemen komen immers minder snel aan het licht en er is minder capaciteit om ze op te lossen.
Wat moeten getroffen MSP’s en bedrijven doen?
Kaseya adviseert om VSA-servers zo snel mogelijk uit te schakelen en offline te houden tot het bedrijf met instructies komt voor een veilig herstel. Klanten die getroffen zijn door ransomware wordt met klem afgeraden om tijdens de communicatie met de aanvallers op links te klikken. Kaseya stelt ook een detectietool beschikbaar waarmee MSP’s kunnen controleren of hun omgeving gecompromitteerd is.
Het Nationaal Cyber Security Centrum (NCSC) adviseert ‒ naast het offline houden van VSA-servers en het gebruik van Kaseya's detectietool ‒ om met een bredere blik logbestanden na te gaan en aanvullende monitoring en analyse uit te voeren.Ook raadt de instantie gebruikers van VSA aan om contact op te nemen met hun beheerorganisatie voor verdere instructies.
KPN Security adviseert bedrijven om in het geval van een ransomwarebesmetting een grondige impactanalyse uit te voeren. Schakel bij ernstige problemen forensisch specialisten in. Zij kunnen helpen de schade te beperken. Doe ook altijd aangifte. De politie heeft bepaalde expertise die van pas kan komen. Daarnaast is het belangrijk dat de politie een zo volledig mogelijk beeld heeft van de impact op Nederlandse organisaties.
Hoe bescherm ik mijn organisatie hiertegen?
Helaas is het bijzonder lastig om te voorkomen dat u slachtoffer wordt van een supplychain-aanval. Je hebt namelijk geen grip op de security van derde partijen waarmee je samenwerkt. Het is riskant om een IT-partner onbeperkte toegang tot de systemen te geven. Voorkom in ieder geval dat de portals van een beheersysteem via het open internet toegankelijk zijn. Zet ze altijd achter een
Durf ook eisen te stellen aan de security van leveranciers. Maak hier in de service level agreement (SLA) afspraken over, bijvoorbeeld dat het bedrijf regelmatig pentests laat uitvoeren en een strikt patchbeleid hanteert. Idealiter neem je dit mee in een bredere strategie voor Third Party Risk Management. Met welke partijen werk je samen? Hoe belangrijk zijn zij voor de bedrijfsvoering? En hebben zij hun security op orde?
Uiteraard is het ook belangrijk om zelf maatregelen tegen ransomware te treffen. Maak gebruik van een moderne antimalware-oplossing en pas netwerkdetectie toe om aanvallen snel te detecteren. Daarnaast is het cruciaal dat er externe back-ups zijn die niet aangetast kunnen worden. Test deze back-ups ook regelmatig. Zorg er verder voor dat je een crisisplan paraat hebt voor een ransomware-incident. Hoe handel je en hoe zijn de taken verdeeld?
Tot slot adviseert
Ransomware readiness scan
De