Top-Methoden zum Schutz Ihres Unternehmens vor Ransomware

Über das Feiertagswochenende kam es zu einem weiteren großen Ransomware-Angriff auf die Lieferkette. Am 2. Juli veröffentlichte der IT-Lösungsanbieter Kaseya eine Erklärung, in der er von einem Ransomware-Angriff berichtete. Dieser Angriff betraf zwar nur 0.1 % der Kunden von Kaseya, doch handelt es sich bei den Kunden um Managed Service Provider (MSPs), sodass auch Hunderte kleinerer Unternehmen von diesem Ransomware-Angriff betroffen waren. Dieser Angriff folgt auf mehrere andere große Ransomware-Angriffe in den letzten Monaten, darunter die Angriff auf die Colonial Gas Pipeline und der Angriff auf den Fleischlieferanten JBSBevor wir uns mit den Einzelheiten dieses Angriffs befassen, wollen wir zunächst erfahren, wer Kaseya ist und was ein Ransomware-Angriff ist.

Was ist Kaseya?

Kaseya ist ein IT-Lösungsanbieter, der Managed Service Providern und Unternehmen verschiedene Software anbietet. Diese MSPs wiederum bieten ihre eigenen Dienste für andere kleine Kunden an, wie z. B. Software as a Service, PKI as a Service und andere ähnliche Dienste. Dies ist einer der Gründe für die Effektivität dieses Angriffs, da jeder dieser MSPs mehrere hundert eigene kleine Unternehmen hat, die versehentlich von dieser Ransomware betroffen waren. Ein Beispiel für die von Kaseya bereitgestellte Software ist VSA, die zur Überwachung und Verwaltung von Netzwerken und Endpunkten verwendet wird.

Was ist Ransomware?

Ransomware ist eine Art von Schadsoftware, die alle Dateien im System eines Opfers verschlüsselt. Sobald die Dateien verschlüsselt sind, hinterlassen die Angreifer in der Regel eine Lösegeldforderung, in der sie dem Opfer mitteilen, wie viel und wohin das Lösegeld zu überweisen ist. Im Gegenzug senden sie die Entschlüsselung Schlüssel an das Opfer zurückgeben. Es wird empfohlen, niemals das Lösegeld an einen Bedrohungsakteur zu zahlen, der Ihre Daten verschlüsselt hat, da er Ihnen entweder nicht die Verschlüsselung Schlüssel, sie können die Informationen trotzdem herunterladen und Sie in Zukunft erpressen, oder sie wissen möglicherweise nicht einmal, wie sie sie entschlüsseln können.

Was ist bei diesem Angriff passiert?

Am 2. Juli 2021 gab Kaseya bekannt, dass ein Angriff auf ihr Tool, den VSA, stattgefunden habe und „eine kleine Anzahl von On-Premise-Kunden“ betroffen sei. Obwohl nur wenige Kunden betroffen waren, handelt es sich dennoch um eine beträchtliche Zahl an Opfern. Wie bereits erwähnt, werden viele der von Kaseya entwickelten Tools von MSPs genutzt, sodass auch deren Kunden betroffen waren. Kaseya empfahl den Opfern, den Administratorzugriff auf das gekaperte Tool zu sperren, und nahm außerdem ihre SaaS-Server und Rechenzentren offline.

Der Angriff selbst nutzte eine Schwachstelle im VSA-Tool von Kaseya aus. Die Angreifer nutzten eine Authentifizierungs-Bypass-Schwachstelle in der Weboberfläche des Tools, um ihre Schadsoftware zu verbreiten. Dadurch konnten die Angreifer Sicherheitskontrollen umgehen, ihre Nutzlast hochladen und mittels SQL-Injection ihren Code im VSA-Tool ausführen. Dazu nutzten die Angreifer ein betrügerisches Zertifikat. Sobald der Endpunkt des MSP oder Benutzers infiziert war, schrieb dieser eine Datei in sein Arbeitsverzeichnis. Von dort aus führte der Computer dann eine Reihe von PowerShell-Befehlen aus, die verschiedene Schadsoftware-Dienste auf einem Windows-Computer stoppten und deaktivierten. Die Datei im Arbeitsverzeichnis wurde dann in eine ausführbare Datei umgewandelt und setzte so die Ransomware frei.

Um die ausführbare Datei verwenden zu können, war jedoch weiterhin eine legitime Signatur erforderlich, und hier kommt das betrügerische Zertifikat ins Spiel. Es stellte sich heraus, dass das Zertifikat einer Organisation namens PB03transport gehörte, einer legitimen Organisation. Dies deutet darauf hin, dass die Bedrohungsakteure Zugriff auf den privaten Schlüssel dieser Organisation hatten, den sie höchstwahrscheinlich durch Phishing oder einen Man-in-the-Middle-Angriff erlangten. Nachdem die Ransomware einen MSP infiziert hatte, wurde die Malware über ein automatisiertes Update, das die Ransomware enthielt, an andere Kunden weitergegeben. Die fragliche Ransomware heißt REvil Ransomware und wurde von ihren Entwicklern, den als REvil oder Sodinikibi bekannten Bedrohungsakteuren, auf das VSA-Tool hochgeladen. Es ist derzeit nicht bekannt, ob alle Opfer die Angreifer bezahlt haben.

Stoppen dieser Art von Angriffen

Die traurige Wahrheit dieses Angriffs ist, dass er hätte verhindert werden können. Mithilfe eines betrügerischen Zertifikats haben diese Angreifer Tausende von Unternehmen lahmgelegt, obwohl ein ordnungsgemäßes Zertifikatsmanagement dies hätte verhindern können. Mit einem verwalteten Zertifikatsmanagementsystem oder PKI-as-a-Service, wie die Art Verschlüsselungsberatung Angebote, wäre dieses betrügerische Zertifikat gar nicht erst erstellt worden. Mit einer ordnungsgemäßen Zertifikatsüberwachung und Schlüsselinventarisierung hätte der gestohlene Schlüssel erkannt und anschließend deaktiviert werden können. Stattdessen müssen viele Unternehmen möglicherweise ein Lösegeld zahlen, nur um ihre Daten zurückzubekommen.