Bij veel ransomware-aanvallen is de back-upserver een doelwit voor de aanvallers om te versleutelen, maar één groep gebruikt back-upservers juist als toegang tot het bedrijfsnetwerk, zo meldt securitybedrijf Mandiant. De aanvallers hebben het specifiek voorzien op kwetsbare Veritas Backup Exec-servers. Drie kwetsbaarheden maken het mogelijk om op afstand toegang tot de back-upservers te krijgen en daarvandaan het bedrijfsnetwerk aan te vallen.

In maart 2021 kwam Veritas met beveiligingsupdates voor de kwetsbaarheden. Vorig jaar september verscheen er een module voor Metasploit die misbruik van de beveiligingslekken maakt. Metasploit is een opensourceframework voor het testen van de beveiliging van systemen en netwerken en is erg geliefd bij penetratietesters en securityprofessionals. Het bevat allerlei modules en exploits voor het uitvoeren van aanvallen.

Volgens Mandiant zijn er meer dan 8500 Veritas-servers vanaf het internet toegankelijk en zal een aantal daarvan mogelijk nog kwetsbaar zijn. De aanvallen die het securitybedrijf waarnam zouden het werk zijn van een partner van de ALPHV-ransomware, ook bekend als BlackCat-ransomware. Deze partner maakt gebruik van de eerder verschenen Metasploit-module voor het uitvoeren van de aanval, waarna er verschillende andere tools worden gebruikt om zich door het netwerk van de getroffen organisatie te bewegen.