Ataque de ransomware Kaseya VSA

El 23 de marzo de 2021, Wietse Boonstra, investigador del Instituto Holandés para la Divulgación de Vulnerabilidades (DIVD), descubrió seis vulnerabilidades de día cero en Kaseya VSA (Administrador de Sistemas Virtuales), y encontró otra el 2 de abril. El DIVD contactó con Kaseya el 6 de abril y colaboró ​​con expertos de la empresa para resolver cuatro de las siete vulnerabilidades reportadas. Posteriormente, el DIVD publicó una entrada en su blog sobre el hallazgo de las vulnerabilidades de día cero. ^{[ 10 ]}

A pesar de la advertencia previa de DIVD, Kaseya no corrigió todos los errores reportados antes de que REvil los explotara para desplegar ransomware. ^{[ 1 ] [ 11 ]} Una vulnerabilidad de omisión de autenticación en el software permitió a los atacantes comprometer VSA el 2 de julio y distribuir una carga útil maliciosa a través de hosts administrados por el software, ^{[ 12 ]} amplificando el alcance del ataque. ^{[ 13 ]} En respuesta, la empresa cerró sus servidores en la nube y SaaS de VSA y emitió un aviso de seguridad a los clientes, incluidos aquellos con implementaciones locales de VSA. ^{[ 14 ]}

Los informes iniciales de las empresas afectadas por el incidente incluyeron a la desarrolladora noruega de software financiero Visma , que administra algunos sistemas para la cadena de supermercados sueca Coop . ^{[ 15 ]} La cadena de supermercados tuvo que cerrar sus 800 tiendas durante casi una semana, algunas en pequeños pueblos sin ningún otro establecimiento de venta de alimentos. No pagaron rescate, sino que reconstruyeron sus sistemas desde cero después de esperar una actualización de Kaseya. ^{[ 16 ]}

El grupo de ransomware REvil se atribuyó oficialmente la responsabilidad del ataque y afirmó haber cifrado más de un millón de sistemas durante el incidente. El 5 de julio de 2021, REvil anunció que lanzaría un descifrador universal, que desbloquearía todos los sistemas afectados, a cambio de un rescate de 70 millones de dólares pagado en Bitcoin . ^{[ 17 ] [ 18 ]} También el 5 de julio, Kaseya declaró que entre 800 y 1500 empresas derivadas se vieron afectadas por el ataque. ^{[ 19 ]} Junto con Coop, entre las organizaciones afectadas se encontraban escuelas de Nueva Zelanda, empresas de Alemania y Estados Unidos, ^{[ 20 ]} y una ciudad de Maryland. ^{[ 21 ]}

El 4 de julio de 2021, la Asesora Adjunta de Seguridad Nacional de EE. UU. para Ciberseguridad y Tecnologías Emergentes, Anne Neuberger , declaró que la Oficina Federal de Investigaciones (FBI) y la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) estaban brindando asistencia a Kaseya y a los clientes afectados. ^{[ 22 ]} Después de una llamada telefónica el 9 de julio de 2021 entre el presidente de Estados Unidos, Joe Biden, y el presidente ruso , Vladimir Putin , Biden dijo a la prensa: "Le dejé muy claro que Estados Unidos espera que cuando una operación de ransomware provenga de su territorio, aunque no esté patrocinada por el Estado, actúen si les proporcionamos suficiente información para actuar sobre quién es el responsable". Biden agregó más tarde que Estados Unidos desactivaría los servidores del grupo si Putin no lo hacía. ^{[ 23 ] [ 24 ]} CISA publicó una guía de respuesta a incidentes para los clientes afectados el 12 de julio de 2021. ^{[ 25 ]}

El 13 de julio de 2021, los sitios web de REvil y otra infraestructura desaparecieron de Internet, ^{[ 26 ]} aunque posteriormente regresaron.

El 23 de julio, Kaseya anunció que había recibido una clave de descifrado universal para los archivos cifrados por REvil de un "tercero de confianza" no identificado y que estaba ayudando a las víctimas a restaurar sus archivos. ^{[ 27 ]} Kaseya trabajó con Emsisoft para crear una herramienta de descifrado para los clientes que utilizaban la clave. ^{[ 28 ]} Kaseya afirmó que no pagó el rescate. ^{[ 29 ]} En septiembre de 2021, el Washington Post informó que la clave maestra provenía del FBI, que la había obtenido secretamente con anterioridad. ^{[ 28 ]}