מערכת ניהול אחת, מתקפת כופר אצל מאות לקוחות
ניצול חולשות בשרתי VSA הפך כלי ניהול מרחוק למסלול להפצת כופרה דרך ספקי שירותי מחשוב.
עסקים במורד שרשרת השירות
הערכת Kaseya מיולי 2021, לצד פחות מ-60 לקוחות VSA ישירים שנפרצו.[1]
דרישת כופר למפתח כולל
דרישה שפורסמה בשם REvil. זו אינה הוכחה לתשלום או להכנסות בפועל.[6]
מפתח פענוח כללי התקבל
Kaseya דיווחה שקיבלה מפתח מצד שלישי, ובהמשך מסרה שלא שילמה עבורו כופר.[5]
האירוע בקצרה
ביולי 2021 תוקפים ניצלו שרתי Kaseya VSA שהותקנו אצל לקוחות, והפעילו באמצעותם כופרת REvil בתחנות קצה של עסקים רבים. הפגיעה התרחבה דרך ספקי שירותי מחשוב, בלי שנדרש לתקוף כל לקוח קצה בנפרד. האירוע המחיש את כוחן של הרשאות ניהול מרכזיות ואת התלות של עסקים בתשתיות של ספקיהם.
מה עושה החברה
Kaseya מפתחת תוכנות לניהול מחשוב. VSA מאפשרת לצוותי IT ולספקי שירותים מנוהלים (MSP) לנטר מחשבים ולהפעיל פעולות מרחוק.[1]
היכן נפרצה שרשרת האמון
החברה דיווחה על עקיפת אימות והרצת פקודות באמצעות חולשות יום אפס. לא נמצאו ראיות לשינוי זדוני בקוד המקור.[1]
התמונה התעדכנה בזמן אמת
הערכת החברה הבחינה בין לקוחות ישירים שנפרצו לעסקים שנפגעו דרכם. אין לחבר את שתי הספירות.[1]
ציר זמן
- 6 באפריל 2021מחקר וחקירה
החוקרים מדווחים לחברה
DIVD דיווחה ל-Kaseya על חולשות לפני המתקפה. חלקן תוקנו בהדרגה; במועד התקיפה עדיין נמשכה עבודת התיקון הרלוונטית.[2]
- 2 ביולי 2021דיווח החברה
המתקפה מתגלה
הגיעו דיווחים על כופרה בתחנות מנוהלות. Kaseya ביקשה לכבות שרתי VSA מקומיים והשביתה גם את תשתית שירות הענן כאמצעי בלימה.[1]
- 4 ביולי 2021מחקר וחקירה
ההשפעה מגיעה גם למסחר
הערוץ דיווח על השבתת סניפי Coop בשוודיה בעקבות פגיעה בשרשרת ספקי מערכות התשלום שלה.[7]
- 4–5 ביולי 2021
- 11 ביולי 2021מחקר וחקירה
יוצא תיקון לשרתי VSA מקומיים
Huntress בדקה את גרסה 9.5.7a ומצאה שהניצול שהצליחה לשחזר כבר אינו עובד לאחר התקנתה.[3]
- 21–26 ביולי 2021דיווח החברה
מפתח פענוח וסיוע בשחזור
החברה קיבלה מפתח ב-21 ביולי, הודיעה עליו למחרת, וב-26 ביולי מסרה שלא שילמה כופר, גם לא בעקיפין.[5]
- 8 בנובמבר 2021
- 1 במאי 2024
גזר דין בהליך הרחב
אותו שותף נידון ל-13 שנים ושבעה חודשים. הנתונים על יותר מ-2,500 תקיפות ודרישות של יותר מ-700 מיליון דולר מתייחסים לפעילותו הרחבה, ולא ל-Kaseya בלבד.[9]
מה קרה טכנית
שליטה בשרת הניהול
Huntress שחזרה שרשרת שכללה עקיפת אימות, העלאת קובץ והרצת פקודות. זו הייתה נקודת הכניסה לשרתים המקומיים שנפגעו.[3]
חולשה שנחקרה לפני המתקפה
DIVD תיעדה בין השאר את CVE-2021-30116, שעסקה בדליפת פרטי גישה ובכשל לוגי. אין להסיק שכל שבע החולשות שעליהן דיווחה נוצלו באירוע.[2]
ניתוק, בדיקה ושחזור מבוקר
ההנחיות הרשמיות כללו כיבוי שרתים, בדיקת סימני פגיעה, הגבלת ממשקי ניהול, אימות רב שלבי וגיבויים מנותקים. עדכון תוכנה לבדו אינו משחזר תחנות שכבר הוצפנו.[4]
השפעה עסקית ועלויות
כל סכום מוצג עם סוג ההוצאה והתקופה שלו. סיוע מימוני, נכסים שנגנבו ודרישת כופר אינם בהכרח עלות בפועל.
הסכום שנדרש עבור מפתח כולל. אין בתיק נתון מאומת על סך הכופר ששילמו כלל נפגעי האירוע.[6]
ההצהרה נוגעת להשגת מפתח הפענוח. היא אינה מעידה מה שילמו עסקים שנפגעו באופן עצמאי.[5]
סגירת חנויות Coop הדגימה כיצד השבתת שירות מחשוב חיצוני יכולה לעצור תשלום בקופות ופעילות פיזית.[7]
צו הפיצוי נוגע למכלול העבירות של השותף שהורשע. הוא אינו אומדן העלות של מתקפת Kaseya או סכום ששולם לכל נפגעיה.[9]
התוקפים וטענות האחריות
Huntress זיהתה שימוש בכופרת REvil / Sodinokibi. ההליך הפלילי בארה״ב קשר שותף במערך הכופר למתקפה. פרופיל הקבוצה אינו מחליף את ההבחנה בין מפעיליה לבין שותפים שהשתמשו בתוכנה.[3][8][9]
לפרופיל במאגר התוקפיםלקחים למנהלים ולאנשי אבטחה
כלי ניהול הוא נכס בעל השפעה רחבה
למפות אילו ספקים וכלים יכולים להפעיל פקודות במחשבים רבים, ולהחיל עליהם הפרדה, הגבלות גישה ובקרה מתאימות.
לתכנן גם ניתוק מהספק
להגדיר מראש איך עוצרים משימות וגישות של כלי ניהול, ומי רשאי להורות על כך בשעת חירום.
לבדוק שחזור ללא ערוץ הניהול הרגיל
תרגיל שחזור צריך להניח שגם כלי ההפצה, הגיבוי או התמיכה המרכזי אינו זמין או אינו מהימן.
להפריד בין מספרי ספקים למספרי נפגעים
בדיווח להנהלה יש להציג בנפרד לקוחות ישירים, עסקים עקיפים ותחנות קצה.
מה עדיין אינו ידוע
- לא נמצא במקורות שנכללו אומדן אחיד ומאומת לעלות הכוללת של כל העסקים שנפגעו.
- דרישת הכופר הכוללת אינה מלמדת מה שילם כל נפגע או מה הייתה ההכנסה בפועל של התוקפים.
הסיקור בחדשות סייבר
מקורות, מחקרים ותחקירים
המספרים בגוף התיק מפנים למקורות שלהלן. לצד כל מקור מופיע מועד פרסומו; מועד בדיקת התיק מצוין בראש העמוד.
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
