La semana pasada, los ciberdelincuentes desplegaron ransomware en 1.500 organizaciones que brindan seguridad de TI y soporte técnico a muchas otras empresas. Los atacantes explotaron una vulnerabilidad en el Kaseya, una empresa con sede en Miami cuyos productos ayudan a los administradores de sistemas a gestionar grandes redes de forma remota. Ahora parece que el portal de servicio al cliente de Kaseya quedó vulnerable hasta la semana pasada a una falla de seguridad de fuga de datos que se identificó por primera vez en el mismo software hace seis años.

3 de julio, Programa de afiliados de REvil ransomware comenzó a usar una vulnerabilidad de seguridad de día cero (CVE-2021-30116) para implementar ransomware en cientos de empresas de gestión de TI que ejecutan el software de gestión remota de Kaseya, conocido como Administrador del sistema virtual de Kaseya (VSA).

De acuerdo a esta entrada para CVE-2021-30116, a la vulnerabilidad de seguridad que alimenta a Kaseya VSA de día cero se le asignó un número de vulnerabilidad el 2 de abril de 2021, lo que indica que Kaseya tenía unos tres meses para corregir el error antes de que fuera explotado en la naturaleza.

También el 3 de julio, la empresa de respuesta a incidentes de seguridad Principal informó a Kaseya que su sitio de facturación y atención al cliente –portal.kaseya.net – era vulnerable a CVE-2015-2862, una vulnerabilidad de «recorrido de directorio» en Kaseya VSA que permite a los usuarios remotos leer cualquier archivo en el servidor utilizando un simple navegador web.

Como sugiere el nombre, CVE-2015-2862 se lanzó en julio de 2015. Seis años después, el portal de clientes de Kaseya todavía estaba expuesto a la fuga de datos débiles.

El portal de facturación y asistencia al cliente de Kaseya. Imagen: Archive.org.

Mandiant informó a Kaseya después de escucharlo de Alex holden, Fundador y CTO de Cyber ​​Intelligence Company con sede en Milwaukee Mantener la seguridad. Holden dijo que la vulnerabilidad de 2015 estuvo presente en el portal de clientes de Kaseya hasta el sábado por la tarde, lo que le permitió descargar la archivo «web.config», un componente del servidor que a menudo contiene información confidencial, como nombres de usuario y contraseñas, y la ubicación de las bases de datos clave.

“No es que se hayan olvidado de arreglar algo que Microsoft arregló hace años”, dijo Holden. “Es una solución para su propio software. Y no es el día cero. ¡Es de 2015!

La descripción oficial de CVE-2015-2862 establece que un atacante potencial ya tendría que estar autenticado en el servidor para que funcione el exploit. Pero Holden dijo que ese no era el caso con la vulnerabilidad del portal Kaseya que informó a través de Mandiant.

«Es peor porque el CVE llama a un usuario autenticado», dijo Holden. «Este no era el caso.»

Michael sanders, vicepresidente ejecutivo de gestión de cuentas de Kaseya, confirmó que el portal del cliente se desconectó en respuesta a un informe de vulnerabilidad. Sanders dijo que el portal se eliminó gradualmente en 2018 a favor de un sistema de atención al cliente y venta de entradas más moderno, pero que el sitio anterior todavía estaba disponible en línea.

«Era obsoleto pero se dejó en su lugar», dijo Sanders.

En una declaración escrita compartida con KrebsOnSecurity, Kaseya dijo que en 2015, CERT informó dos vulnerabilidades en su producto VSA.

“Hemos trabajado con CERT en divulgación responsable y hemos publicado correcciones para VSA V7, R8, R9 y R9, así como divulgación pública (CVE) y notificaciones a nuestros clientes. Portal.kaseya.net no fue considerado por nuestro equipo como parte del producto de envío de VSA y no fue parte del parche de producto de VSA en 2015. No tiene acceso a los puntos finales de los clientes y se detuvo, y ya no se activará. o utilizado por Kaseya.

«Por el momento, no hay evidencia de que este portal haya estado involucrado en el incidente de seguridad del producto VSA», continuó el comunicado. “Continuamos haciendo análisis forenses en el sistema e investigamos los datos que realmente están allí. «

El grupo de ransomware REvil dijo que las organizaciones involucradas podrían negociar de forma independiente con ellos una clave de descifrado, o que alguien podría pagar $ 70 millones en moneda virtual para comprar una clave que funcione para descifrar todos los sistemas comprometidos en este ataque.

Pero Sanders dijo que todos los expertos en ransomware que Kaseya consultó hasta ahora desaconsejaron negociar un rescate único para desbloquear a todas las víctimas.

«El problema es que no tienen nuestros datos, tienen los datos de nuestros clientes», dijo Sanders. “Todas las empresas comerciales de ransomware con las que hemos tratado nos han aconsejado que no hagamos esto. Dijeron que con la cantidad de máquinas individuales pirateadas y rescatadas, sería muy difícil que todos estos sistemas se repararan al mismo tiempo.

En un video publicado en Youtube el 6 de julio, el CEO de Kaseya Fred voccola dijo que el ataque de ransomware fue «de impacto limitado, con solo alrededor de 50 de los más de 35,000 clientes de Kaseya siendo violados».

“Aunque todos los clientes afectados son demasiados, afortunadamente el impacto de este ataque altamente sofisticado se ha sobrestimado enormemente”, dijo Voccola.

La vulnerabilidad de día cero que llevó a los clientes de Kaseya (y a los clientes de esos clientes) a obtener un rescate fue descubierta e informada a Kaseya por Wietse Boonstra, un investigador de Instituto Holandés de Divulgación de Vulnerabilidades (DIVD).

Dentro una publicación de blog del 4 de julio, DIVD Victor Gevers escribió que Kaseya fue «muy cooperativo» y «hizo las preguntas correctas».

«Además, se han compartido con nosotros las correcciones parciales para validar su eficacia», escribió Gevers. “A lo largo de todo el proceso, Kaseya ha demostrado que están dispuestos a poner el máximo esfuerzo e iniciativa en este asunto, tanto para resolver este problema como para corregir a sus clientes. Han demostrado un compromiso real por hacer lo correcto. Desafortunadamente, REvil nos derrotó en el sprint final porque podían explotar las vulnerabilidades antes de que los clientes pudieran solucionarlas.

Sin embargo, Kaseya aún no ha publicado una solución oficial para la falla reportada por Boonstra en abril. Kaseya dijo a los clientes el 7 de julio que estuvo funcionando «toda la noche» para lanzar una actualización.

Gevers dijo que la vulnerabilidad de Kaseya fue descubierta como parte del esfuerzo más grande de DIVD para encontrar fallas graves en una amplia gama de herramientas de administración de red remota.

«Nos estamos centrando en este tipo de productos porque hemos detectado una tendencia en la que cada vez más productos que se utilizan para proporcionar seguridad de red tienen debilidades estructurales», escribió.