Wie wurde Kaseya gehackt?

Der Kaseya Ransomware-Angriff erfolgte durch die Ausnutzung von CVE 2021-30116, einer Schwachstelle zur Umgehung der Authentifizierung auf Kaseya VSA-Servern. Auf diese Weise konnten die Hacker Authentifizierungskontrollen und Exekutivbefehle per SQL-Injection umgehen und hatten so die volle Kontrolle, die sie benötigten, um ihre Ransomware-Payload bereitzustellen und ein Segment der internen Daten von Kaseya zu verschlüsseln.

Die Hacker haben nicht nur die Kundendatenbank von Kaseya kompromittiert, sondern auch mehrere Kunden von Kaseya ins Visier genommen, indem sie die Ransomware-Payload in einem scheinbar harmlosen Software-Update veröffentlicht haben - eine Taktik, die gleichbedeutend mit den fortschrittlichen Methoden ist, die beim SolarWinds-Hack verwendet wurden.

Kaseya wurde absichtlich ins Visier genommen, weil es IT-Lösungen für Managed Service Provider (MSPs) anbietet, die IT-Support für unterversorgte Unternehmen anbieten. Es wird geschätzt, dass fast 2000 Unternehmen in 17 Bezirken von dem Angriff betroffen waren. Viele Infektionen verbreiten sich über Unternehmen, die IT-Infrastrukturen für mehrere Kunden aus der Ferne verwalten, was diesen Vorfall zum größten Ransomware-Angriff in der Lieferkette seit Beginn der Aufzeichnungen macht.

Wer war für den Kaseya Ransomware-Angriff verantwortlich?

Die mit Russland verbundene Ransomware-Bande REvil übernahm die Verantwortung für den Angriff auf ein Darknet-Forum und prahlte damit, dass über eine Million Systeme mit ihrer Ransomware infiziert waren. Die Ransomware Gange bot auch einen Entschlüsselungsschlüssel an, um den Zugang zu allen beschlagnahmten Systemen für 70 Millionen US-Dollar in Kryptowährung wiederherzustellen.

REvil (auch bekannt als Sodinokibi) ist dieselbe cyberkriminelle Bande, die wahrscheinlich für die Mammut-Datenpanne bei der Medibank verantwortlich ist.

Erfahren Sie, wie die Sicherheitslage Ihres Unternehmens im Vergleich zu der von Kaseya abschneidet.

Sehen Sie sich den Sicherheitsbericht von Kaseya an.

So vermeiden Sie einen Vorfall wie den Kaseya Ransomware-Angriff

Ihr Unternehmen könnte vermeiden, Opfer eines Sicherheitsvorfalls zu werden, der dem Kaseya Ransomware-Angriff ähnelt, indem Sie Ihre Cybersicherheitsbemühungen an die folgenden wichtigen Erkenntnisse anpassen.

1. Rechnen Sie damit, während der Feiertage angegriffen zu werden

Der Kaseya-Ransomware-Angriff ereignete sich am Wochenende des 4. Juli. Cyberangriffe, insbesondere Ransomware-Angriffe, neigen dazu, in der Weihnachtszeit zuzunehmen, wobei Hacker während der Flaute der Geschäftsnachfrage von einer geringeren Personalbesetzung profitieren.

Da weniger IT- und Sicherheitspersonal auf Abruf zur Verfügung steht, sind Cyberbedrohungen nach einer Netzwerkverletzung schwieriger abzufangen und einzudämmen. Weniger Sicherheitspersonal erschwert auch die Unterstützung von Mitarbeitern, die mit einer potenziellen Phishing-Bedrohung zu kämpfen haben - dem primären Angriffsvektor für Ransomware.

Durch die Implementierung einer Zero-Trust-Architektur ist Ihr Cybersicherheitsprogramm jederzeit auf drohende Datenschutzverletzungen vorbereitet, selbst wenn Sie an diesem lang ersehnten Urlaub geistig vom Stromnetz getrennt sind.

Erfahren Sie mehr über Zero Trust >

2. Laden Sie das Kaseya VSA-Erkennungstool herunter

Angesichts der Auswirkungen dieses Angriffs, der speziell darauf ausgelegt ist, sich über die gesamte Lieferkette auszubreiten, ist es schwierig vorherzusagen, wie weit sich die Kompromittierungsindikatoren von REvil ausgebreitet haben und wie viele Systeme immer noch anfällig für Kompromittierungen sind, obwohl sich dieser Vorfall im Juli 2021 ereignete.

Das Vorhandensein von Indikatoren für eine Kompromittierung, die mit diesem Ransomware-Angriff in Verbindung stehen, kann mit diesem Kaseya VSA-Erkennungstool erkannt werden.

Wenn Sie über eine Scanlösung verfügen, aktualisieren Sie diese so, dass sie diese Liste der CNC-Domänen enthält, von denen angenommen wird, dass sie mit Kaseya verknüpft sind.

3. Implementieren Sie Kontrollen, um die Auswirkungen von Ransomware-Angriffen zu reduzieren

Durch die Implementierung von Sicherheitskontrollen für alle wichtigen Meilensteine eines Ransomware-Angriffspfads kann der Verlauf eines Angriffs gestoppt oder zumindest so verlangsamt werden, dass er abgefangen werden kann, bevor sensible Ressourcen verletzt werden.

Der Lebenszyklus von Ransomware-Angriffen kann in acht Hauptphasen unterteilt werden.

• Phase 1 - Phishing-Angriff
• Phase 2 - Interaktion mit Opfern
• Phase 3 - Kompromittierung des Kontos
• Phase 4 - Privilegienausweitung
• Phase 5 - Seitwärtsbewegung
• Phase 6 - Datenexfiltration
• Phase 7 - Datenverschlüsselung
• Phase 8 - Datendump

Im Folgenden finden Sie eine Liste der vorgeschlagenen Sicherheitskontrollen, die den einzelnen Phasen entsprechen:

Phase 1 - Phishing-Angriff

Sicherheitskontrollen:

• Schulung des Sicherheitsbewusstseins.

Phase 2 - Interaktion mit dem Opfer

Sicherheitskontrollen:

• Web-Proxy
• DNS-Protokolle
• Endpunkt-Sicherheit

Phase 3 - Kompromittierung des Kontos

Sicherheitskontrollen:

• Multi-Faktor-Authentifizierung

Phase 4 - Privilegienausweitung

Sicherheitskontrollen:

• Verwaltung privilegierter Eskalationen
• Zero-Trust-Architektur
• Passwort-Manager
• Multi-Faktor-Authentifizierung

Phase 5 - Seitwärtsbewegung

Sicherheitskontrollen:

• SIEM
• Null Vertrauen
• Schutz vor Datenverlust

Phase 6 - Datenexfiltration

Sicherheitskontrollen:

• Netzwerk-Segmentierung
• Verwaltung des privilegierten Zugriffs
• Datenverschlüsselung

Phase 7 - Datenverschlüsselung

Sicherheitskontrollen:

• Datensicherungen

Phase 8 - Datendump

Sicherheitskontrollen:

• Erkennung von Datenlecks in Ransomware-Blogs.

Erfahren Sie, wie Sie den Ransomware-Angriffspfad > schützen können