Selbst für ein mittelständisches Unternehmen kann die Nachverfolgung der Abhängigkeiten innerhalb der Software-Lieferkette eine gewaltige Herausforderung darstellen. Dennoch gewinnt die Verbesserung der Transparenz für ein effektives Risikomanagement zunehmend an Bedeutung. Ein weiterer Cyberangriff auf die Lieferkette in der vergangenen Woche hat uns erneut vor Augen geführt, warum dies so ist – dabei wurden möglicherweise bis zu 1 500 Organisationen mit Ransomware infiziert. Zum Glück verfügen die Kunden von Tanium über die erforderlichen Werkzeuge, um schnell zu reagieren und die Bedrohung zu beseitigen.
Sehen Sie sich dieses Video an, um zu erfahren, wie „ “ Tanium Threat Response die Kaseya-Sicherheitslücke in weniger als drei Minuten beheben kann:
https://youtu.be/tYYg6M9upMg
Was ist bei Kaseya geschehen?
Der Angriff erfolgte am Freitag, dem 2. Juli, kurz vor dem Feiertagswochenende. Dies war wahrscheinlich ein gezielter Schachzug, um die IT-Sicherheitsteams zu überraschen. Ziel des Angriffs war Kaseya VSA, eine Plattform für das Patch- und Schwachstellenmanagement, die von schätzungsweise 40 000 Managed-Service-Providern (MSPs) genutzt wird.
Die Angreifer nutzten eine Zero-Day-Sicherheitslücke (CVE-2021–3011) in der Plattform aus, von der angenommen wird , dass sie eine Umgehung der Authentifizierung in der Weboberfläche von VSA ermöglichte. Mithilfe einer authentifizierten Sitzung gelang es den Angreifern, eine REvil-Ransomware-Nutzlast hochzuladen und Befehle über eine SQL-Injection auszuführen.
Angeblich wurde die Ransomware über ein gefälschtes Software-Update namens „Kaseya VSA Agent Hot-fix“ automatisch auf allen verwalteten Systemen installiert. Der Angriff betraf ausschließlich VSA-Kunden mit lokalen Installationen; laut Kaseya waren „weniger als 60” MSP-Kunden betroffen“ . Jeder dieser MSPs hat jedoch zahlreiche nachgelagerte Kunden, was die globalen Auswirkungen erheblich verstärkt.
Unmittelbar nach dem Angriff empfahl Kaseya den MSP-Kunden, ihre VSA-Server außer Betrieb zu nehmen und auf einen Patch zu warten, der nun unter 11. Juli veröffentlicht werden soll. Kunden in nachgelagerten Bereichen, die von Ransomware befallen waren, wurden dringend aufgefordert, nicht auf Nachrichten der Erpresser zu klicken, da diese ebenfalls schädliche Links enthalten könnten, hieß es.
Wie Tanium Ihnen helfen kann
In solchen Situationen – da zählt jede Sekunde. Unternehmen müssen umgehend prüfen, ob sie möglicherweise dieser Bedrohung ausgesetzt sind, und das Problem so schnell wie möglich beheben, um das Cyberrisiko zu minimieren.
Glücklicherweise ermöglicht Tanium seinen Kunden, eine große Anzahl von Endgeräten schnell auf das Vorhandensein der Kaseya-VSA-Software zu überprüfen. Zudem versetzt es diese Organisationen in die Lage, technische Leitfäden anzupassen und diese zügig und in großem Umfang umzusetzen, sobald neue Informationen von Anbietern vorliegen. Dies ist in sich rasch entwickelnden Situationen wie dieser von entscheidender Bedeutung.
Zusammenfassend lässt sich sagen, dass Tanium Ihrem Unternehmen dabei helfen wird:
Finden Sie das Problem
Mit dem Tanium Interact- können Kunden Abfragen an ihre Endgeräte senden und Antworten in Echtzeit erhalten, um festzustellen, ob dort Kaseya VSA ausgeführt wird.
Der Tanium Index ist eine Komponente von Tanium Asset, Tanium Integrity Monitor und Tanium Threat Response. Es kann dazu verwendet werden, bösartige Installationen wie die Ransomware REvil/Sodinokibi aufzuspüren. Durch die Vorab-Indizierung von Systemen und die Pflege einer aktuellen Datenbank mit Dateien ermöglicht Ihnen Tanium, schnell und überall auf Ihren Endgeräten nach beliebigen Dateien anhand des Namens, eines Teilnamens, eines Hash-Werts usw. zu suchen.
Mit dem Tanium Asset- -Tool können Sie einen Bericht auf der Grundlage der oben genannten Abfragen erstellen und dabei bei Bedarf kürzlich außer Betrieb genommene Hosts aus dem Bericht entfernen.
Mit „Tanium Trends“ ( ) lässt sich das Problem mithilfe der „Interact“-Fragen visuell nachverfolgen.
Beheben Sie das Problem
Mit Tanium können Sie einen Befehl zum Herunterfahren an VSA-Server senden oder diese über Tanium Quarantine online halten und gleichzeitig deren Sicherheit gewährleisten.
Die Tanium Threat Response- e ermöglicht die Suche nach und Erkennung von Bedrohungen in Echtzeit mithilfe von IoCs und Bedrohungsinformationen. Werden Bedrohungen erkannt, können über „Tanium Quarantine“ oder „Tanium Enforce“ weitere Maßnahmen ergriffen werden.
Bedrohungen für die Lieferkette gibt es bereits seit vielen Jahren. Doch wie dieser jüngste Vorfall zeigt, werden die Angreifer bei der Auswahl ihrer Ziele immer dreister und raffinierter. Die beste Form des proaktiven Risikomanagements in diesem Zusammenhang besteht darin, über Tools zu verfügen, die eine kontinuierliche Transparenz der Endgeräte gewährleisten und die Möglichkeit bieten, im entscheidenden Moment schnell zu reagieren.
Möchten Sie wissen, wie es um den Zustand Ihres Netzwerks steht? Melden Sie sich noch heute für unsere kostenlose Risikobewertung „ “ unter an.
