Kaseya, MSPS ve müşterilerine saldırmak için Revil Ransomware çetesinin kullandığı VSA sıfır gün güvenlik açıkları için bir güvenlik güncelleştirmesi yayınladı.
Kaseya VSA, yönetilen servis sağlayıcılar tarafından müşterilerini desteklemeleri için yaygın olarak kullanılan uzaktan bir yönetim ve izleme çözümüdür. MSPS, sunucularını kullanarak VSA içi ve Kaseya'nın bulut tabanlı SAAS çözümünü kullanır.
Nisan ayında, Hollandalı güvenlik açığı ifşa etme (DivD), Kaseya'ya yedi güvenlik açığını açıkladı:
Kaseya, VSA SaaS hizmetindeki güvenlik açıklarının çoğu için yamalar uyguladılar, ancak VSA'nın öncül versiyonu için yamaları tamamlamamıştı.
Ne yazık ki, Revil Ransomware Gang, Kaseya'yı bitiş çizgisine geçti ve bu güvenlik açıklarını, şirket içi VSA sunucuları ve 1.500 iş müşterisi kullanarak yaklaşık 60 msp'a karşı büyük bir saldırı başlatmak için bu güvenlik açıklarını kullandı.
Saldırıda hangi güvenlik açıklarının kullanıldığı belirsizdir, ancak bir CVE-2021-30116, CVE-2021-30119 ve CVE-2021-30120'nin bir kombinasyonu olduğuna inanılmaktadır.
Saleyden bu yana Kaseya, bir yama hazır olana kadar şirket içi VSA müşterilerini sunucularını kapatmaya çağırdı.
Saldırılardan hemen hemen on gün sonra, Kaseya, Ransomware saldırısında kullanılan güvenlik açıklarını düzeltmek için VSA 9.5.7a (9.5.7.2994) güncellemesini piyasaya sürdü.
Bu sürüm ile Kaseya aşağıdaki güvenlik açıklarını düzeltmiştir:
Bununla birlikte, Kaseya, müşterileri daha fazla ihlal etmeyi önlemek için güncellemeyi kurmadan ve cihazların daha önce tehlikeye girmediğinden emin olmak için güncellemeyi kurmadan önce müşterileri takip etmeye çağırıyor.
Aşağıda, VSA sunucularını tekrar başlatmadan ve bunları internete bağlamadan önce, yöneticilerin performans göstermesi gereken temel adımlar bulunmaktadır:
Bu adımların, şirket bünyesindeki VSA sunucularının, yamayı yüklerken uzlaşmayı önlemek için internetten halka açık olmaması önemlidir.
Kaseya ayrıca, müşterilerin "uzlaşma algılama aracını" kullanmalarını sağlar. Bir VSA sunucusunun veya bitiş noktalarının tehlikeye girdiğini tespit etmek için PowerShell komut dosyaları koleksiyonu.
Scriptler, 'Kaseya \ WebPages \ ManagedFiles \ VsaticketFiles \ Agent.Crt' ve 'Kaseya \ WebPages \ ManagedFiles \ VSATICHILES \ Agent.exe,' ve 'Agent.crt' ve 'Agent.exe' varlığı için VSA sunucularını kontrol edecektir. bitiş noktalarında.
Arkan Ortaklık, Revil Ransomware yürütülebilir dosyayı dağıtmak için ajan.crt ve agent.exe dosyalarını kullandı.
Ek güvenlik için, Kaseya ayrıca şirket içi VSA admin, Web GUI'sine yerel IP adreslerine ve güvenlik ürünleri tarafından kullanıldığı bilinenlere erişimi kısıtlamıyor.
"VSA şirket içi kurulumlar için, VSA Web GUI'ne İnternet Güvenlik Duvarı'ndaki 443 numaralı bağlantı noktasını engelleyerek yerel IP adreslerine sınırlandırmayı önerdik. Bazı entegrasyonlar, 443 numaralı bağlantı noktasında VSA sunucunuza gelen erişimi gerektirebilir. Aşağıda bir liste IP adreslerinin, bu entegrasyonları VSA'nızdaki ürününüzle kullanıyorsanız, güvenlik duvarınızdaki (443'e izin ver) Whitelist'i yapabilirsiniz. " Kaseya'yı açıklar.
Yamayı yükledikten sonra, tüm kullanıcıların şifrelerini yeni şifre gereksinimlerini kullanarak birine değiştirmeleri gerekecektir.
Arzu kurbanları kusurlu Kaseya Ransomware saldırısından sonra ödeme yapmayı reddediyor
Revil Ransomware, tüm Kaseya saldırı mağdurlarının şifresini çözmek için 70 milyon dolar istedi
İstiridler Kaseya Ransomware saldırısı kurbanları için ransomları artırıyor
Kaseya, revil ransomware saldırılarını yayarken sıfır günü düzeltiyordu.
Revil Ransomware MSP tedarik zinciri saldırısında 1.000+ şirkette bulundu
Kaynak: Bleeping Computer