De Nederlandse onderzoekers van het Dutch Institute for Vulnerability Disclosure (DIVD) weten niet hoe een kritieke kwetsbaarheid die zij in de software van Kaseya ontdekten, en die vorige week werd misbruikt bij een wereldwijde ransomware-aanval, bekend is geworden bij de criminelen. Dat laat Victor Gevers, voorzitter van het DIVD, tegenover Security.NL weten.

De kwetsbaarheid in Kaseya VSA, aangeduid als CVE-2021-30116, werd in april door onderzoeker Wietse Boonstra ontdekt. Het was één van zeven beveiligingslekken die DIVD-onderzoekers in de VSA-software van Kaseya aantroffen. De ernst van CVE-2021-30116 is op een schaal van 1 tot en met 10 met een 10 beoordeeld.

Het DIVD waarschuwde Kaseya dat vervolgens een update ging ontwikkelen. Nog voordat de update kon worden uitgerold maakte de groep achter de REvil-groep er misbruik van. Via CVE-2021-30116 en nog een andere kwetsbaarheid wisten ze op afstand VSA-servers van managed serviceproviders (MSP's) over te nemen. MSP's gebruiken VSA voor het beheren van de systemen van hun klanten.

De criminelen gebruikten de toegang die VSA standaard biedt om systemen van MSP-klanten met ransomware te infecteren. Al snel na de aanval werd de vraag gesteld hoe het kon dat de REvil-groep ook van het beveiligingslek afwist. Het DIVD weet niet hoe dit is gebeurd. "Daar hebben we geen beeld van", zegt Gevers. "Het DIVD heeft frequent contact gehad met Kaseya over de gevonden kwetsbaarheden en de mogelijke oplossingen."

Op de vraag of het DIVD een eigen onderzoek heeft ingesteld nadat de REvil-groep ook van het beveiligingslek bleek af te weten antwoordt Gevers dat de omgeving en systemen van het instituut zo goed als mogelijk worden bewaakt en gemonitord conform het informatiebeleid dat door de CISO is opgesteld. "Een uitgebreide evaluatie over deze casus gaan wij nog uitvoeren", voegt de DIVD-voorzitter toe.

Gevers liet eerder al op Twitter weten dat de kwetsbaarheid eenvoudig te vinden was. "Maar om het verder succesvol uit te buiten (in de vorm van een ransomware die onder de radar kan blijven) vergt een veel hoger expertiseniveau", merkt hij op. Daarnaast wijst hij ook naar de expertise binnen de REvil-groep, die eerder nog vleesverwerker JBS aanviel en daarmee 11 miljoen dollar verdiende. De groep wist eerder ook toe te slaan bij de Deense schoonmaakgigant ISS en claimde succesvolle aanvallen tegen computerfabrikant Acer en Apple-leverancier Quanta Computer. Dat kan verklaren dat ze achter het bestaan van de kwetsbaarheid zijn gekomen.

"Omdat dat hackers van REvil net zo briljant zijn als niet nog slimmer dan Wietse. We moeten dan ook even realistisch zijn. Wij zijn vrijwilligers die dit er bij doen naast en fulltimebaan. Een soort van op zondagochtend hardloop groepje die aan het trainen is voor de CPC. En dat we vlak voor de finish even flink ingehaald werden door een groep topatleten die hier 24/7 mee bezig is", stelt Gevers. Daarnaast komt het vaker voor dat verschillende onderzoekers dezelfde kwetsbaarheid vinden.

"Inlichtingendienst onwaarschijnlijk"

Eén van de mogelijke scenario's die op internet worden genoemd is dat de REvil-groep, die vanuit Rusland zou opereren, de exploit voor de Kaseya-kwetsbaarheid via een Russische inlichtingendienst heeft gekregen. Een beveiligingsonderzoeker met het alias The Grugq noemt dit zeer onwaarschijnlijk aangezien inlichtingendiensten hier geen manier voor zouden hebben. Het is waarschijnlijker dat de groep de exploit via een exploit-aanbieder heeft verkregen. "Maar gegeven hoe weinig we weten is het allemaal pure speculatie."

Wat betreft de keuze om toe te slaan tijdens het weekend van 4 juli is bekend dat de REvil-groep vaker toeslaat tijdens feestweekenden en is dit weekend mogelijk gekozen vanwege de naderende beveiligingsupdate voor de kwetsbaarheid. Twee grote ransomware-aanvallen, op Colonial Pipeline en vleesverwerker JBS, zorgde ervoor dat de VS nu wil dat Rusland ransomwaregroepen aanpakt.

Volgens The Grugq heeft dit nog geen gevolgen gehad. "Financieel gemotiveerde aanvallers worden gemotiveerd door geld. Ze zullen geld proberen te verdienen. Er is geen reden voor hen om te stoppen omdat iemand aan de andere kant van de wereld boos is." Wel denkt de onderzoeker dat de groep beschermingsgeld betaalt om te blijven opereren.

Een andere observatie die The Grugq doet is dat de REvil-groep mogelijk meer slachtoffers heeft gemaakt dan het aankan. "Met het bestaande proces voor het omgaan met slachtoffers is het onmogelijk voor REvil om op te schalen naar duizend slachtoffers. Hun managementinfrastructuur kan een dergelijk aantal gewoon niet aan. Het is niemand gelukt om duizend slachtoffers in een week te beheren", aldus de onderzoeker.