Angriff auf die Lieferkette führt zu massiver Ransomware-Verbreitung

Die Hintermänner der REvil-Ransomware haben einen neuen Verbreitungsweg für ihre Erpressersoftware gefunden. Ihnen ist es gelungen, eine Software des US-Anbieters Kaseya zu hacken und darüber zahlreiche Unternehmen weltweit anzugreifen. Unter anderem musste die schwedische Supermarktkette Coop am Samstag Hunderte Filialen schließen. Das Bundesamt für Sicherheit in der Informationstechnik schließt zudem nicht aus, das deutsche Firmen zu Beginn der Arbeitswoche ebenfalls Probleme feststellen werden.

Betroffen ist die Endpoint-Management- und Network-Monitoring-Software VSA von Kaseya. Das Unternehmen empfiehlt seinen Kunden, ihre VSA-Server abzuschalten, um eine Kompromittierung mit Ransomware zu verhindern. Allerdings wird die Anwendung auch von Managed Service Providern eingesetzt – somit sind deren Kunden ebenfalls gefährdet.

Kaseya geht davon aus, dass nur die On-Premise-Version seiner Software angreifbar ist. Für SaaS-Kunden haben nie eine Gefahr bestanden. Ein Patch sei bereits in Arbeit. “Wir haben von der überwiegenden Mehrheit unserer Kunden gehört, dass sie keinerlei Probleme hatten, und ich bin unseren internen Teams, externen Experten und Industriepartnern dankbar, die mit uns zusammengearbeitet haben, um dies schnell zu einem erfolgreichen Ergebnis zu bringen”, sagte Kaseya-CEO Fred Voccola.

Das Unternehmen geht davon aus, dass über die Schwachstelle in der VSA-Software rund 40 Kunden weltweit kompromittiert wurden. Darunter sollen aber mindestens acht Managed Service Provider sein, wodurch die Zahl der potenzielle Opfer in die Hunderte geht.

John Hammond, Senior Security Researcher beim Sicherheitsanbieter Huntress, betonte im Gespräch mit ZDNet USA, dass bisher nicht bekannt sei, wie es den REvil-Erpressern gelungen sei, die VSA-Software zu infiltrieren. “Uns sind vier MSPs bekannt, bei denen alle Kunden betroffen sind, drei davon in den USA. Es sind MSPs mit mehr als tausend Endpoints betroffen.” Später erhöhte Hammond die Zahl der angegriffenen MSPs auf acht.

Allein über drei von Huntress betreute MSPs seien Systeme von etwa 200 Unternehmen verschlüsselt worden. “Wenn ein MSP kompromittiert wurde, haben wir festgestellt, dass sich die Daten über die VSA auf alle Kunden des MSP ausgebreitet haben. Die VSA von Kaseya kann entweder vor Ort oder in der Cloud gehostet sein”, ergänzte Hammond.

Hierzulande ist nach Angaben des BSI mindestens ein IT-Dienstleister betroffen. Er soll Tausende Computer bei mehreren Unternehmen betreuen, wie ein Sprecher der Behörde gegenüber dem ZDF erklärte.

Die REvil-Erpresser sollen zudem bereits damit begonnen haben, ihre Opfer zu erpressen. Die Lösegeldforderungen liegen nach Angaben mehrerer Sicherheitsforscher zwischen 45.000 und 5 Millionen Dollar.