Sicherheitslücke bei Kaseya
Hacker kompromittieren VSA-Fernwartungssoftware mit REvil-Ransomware, 800-1.500 Unternehmen durch Lieferketten-Angriff betroffen.

Die Betreiber der REvil-Ransomware haben über den IT-Dienstleister Kaseya einen Lieferkettenangriff durchgeführt, der zahleiche Unternehmen weltweit betraf. 

Um die Unternehmen mit der Ransomware zu infizieren, nutzten die Hacker drei Sicherheitslücken (CVE-2021-30116, CVE-2021-30119, CVE-2021-30120) in Kaseyas VSA-Software. Bei VSA handelt es sich um eine Cloud-basierte Plattform, welche Managed-Service-Providern (MSP) erlaubt, Remote-Wartungsdienstleistungen bei ihren Kunden durchzuführen. Aufgrund der Sicherheitslücken konnten die Angreifer den Authentifizierungsvorgang umgehen und willkürliche Kommandos auf den betroffenen Systemen ausführen. So schleusten die Hacker REvil in die Systeme diverser MSPs, welche die Ransomware wiederum auf ihre Kunden weltweit verbreiteten. 

Es wird geschätzt, dass 50 MSPs mit 800 bis 1.500 Unternehmenskunden vom Vorfall betroffen waren. Die Angreifer gaben derweil begannt, bei diesen insgesamt über 1 Mio. Computer-Systeme verschlüsselt zu haben. Des Weiteren forderten die Angreifer ein Lösegeld in Höhe von 70.000.000 USD im Gegenzug für einen Universal-Entschlüsselungsschlüssel. Zuvor waren 5.000.000 USD von MSPs und 44.999 USD pro Dateiendung der verschlüsselten Daten von Unternehmenskunden verlangt worden. Nach Angaben der Hacker seien bei den Angriffen keine Daten abgeschöpft worden.

Kaseya hatte nach Feststellung des Angriffs seine SaaS-Server heruntergefahren und ein Update für VSA auf die Version VSA 9.5.7a (9.5.7.2994) veröffentlicht, mit dem die von den Angreifern als Eingangstore verwendeten Schwachstellen geschlossen wurden.

Aufgrund der Tragweite des Angriffs ordnete der US-amerikanische Präsident Joe Biden geheimdienstliche Ermittlungen zu dem Vorfall an.

Nachtrag vom 27.11.2024:

Kaseya erklärte Ende Juli 2021, einen Generalschlüssel erhalten zu haben. Für diesen habe man jedoch kein Lösegeld bezahlt.

Nachtrag vom 15.01.2024:

Im August 2021 leakten Nutzer eines Hacker-Forums ebendiesen Generalschlüssel.