Kaseya was al sinds april op de hoogte de kwetsbaarheden in zijn software die intussen een enorme ransomware-aanval hebben ondersteund. Tussentijdse patches losten niet alle problemen op.
Nederlandse beveiligingsonderzoekers waarschuwden Kaseya al in april voor zeven verschillende kwetsbaarheden in de Kaseya VSA-software. Enkele van die kwetsbaarheden werden afgelopen week misbruikt door de criminelen van REvil om tussen de 1.000 en de 1.500 organisaties wereldwijd met ransomware te besmetten. Een patch die klanten beschermt, is nog onderweg.
Te laat
Onderzoeker Frank Breedijk geeft in een blogpost aan dat Kaseya destijds snel en correct reageerde op te bevindingen. De softwarespecialist ging meteen aan de slag met patches en rolde er sinds dan twee uit. Die losten een deel van de kwetsbaarheden op, maar drie van de zeven blijven tot vandaag bestaan. Het is onduidelijk hoe het kan dat de kritieke lekken meer dan twee maanden ongedicht bleven. Het staat vast dat Kaseya de gekende problemen probeerde op te lossen, maar schijnbaar was het bedrijf te traag om misbruik te voorkomen.
Dat Kaseya op de hoogte was van de problemen, schijnt een ander licht over de hele zaak. Tot nog toe namen we aan dat het Amerikaanse bedrijf in snelheid werd gepakt door een kersverse zero day. Nu lijkt de organisatie toch meer verantwoordelijkheid te dragen voor de problemen. Dat de CEO de aanval pas nog probeerde te minimaliseren, maakt de zaken er niet beter op.
Update-spam
Intussen blijft de Kaseya VSA-clouddienst offline en moeten ook klanten met een on-premises-versie van de IT-beheerssoftware hun systemen van het internet afschermen. Een eerder gepubliceerde tijdslijn voor het herstel van de dienstverlening en de uitrol van een patch, bleek te optimistisch.
Nieuwe misdadigers maken de situatie nog complexer door van de verwarring gebruik te maken om valse patches aan te bieden. Een mailcampagne probeert mogelijke slachtoffers wijs te maken dat er al een officiële patch is. Die zou van Microsoft zijn en de Kaseya-kwetsbaarheid oplossen. Wie dat gelooft, haalt andere malware in huis (en moet misschien een carrièreswitch overwegen).