Anche per un’organizzazione di medie dimensioni, tracciare le dipendenze all’interno della catena di fornitura del software può rappresentare una prospettiva scoraggiante. Tuttavia, garantire la visibilità è sempre più importante per una gestione efficace dei rischi. Un altro attacco informatico alla catena di approvvigionamento verificatosi la scorsa settimana ci ha ricordato il motivo: il ransomware ha colpito forse fino a 1.500 organizzazioni. Fortunatamente per i clienti di Tanium , questi dispongono degli strumenti necessari per reagire rapidamente e neutralizzare la minaccia.
Guardi questo video per scoprire come Tanium Threat Response possa risolvere la vulnerabilità di Kaseya in meno di tre minuti:
https://youtu.be/tYYg6M9upMg
Cosa è accaduto alla Kaseya?
L'attacco è avvenuto venerdì, 2 luglio, proprio alla vigilia del weekend festivo. Probabilmente si è trattato di una manovra deliberata volta a cogliere di sorpresa i team di sicurezza informatica. L'attacco era diretto contro Kaseya VSA, una piattaforma di gestione delle patch e delle vulnerabilità utilizzata, secondo le stime, da 40.000 fornitori di servizi gestiti (MSP).
Gli autori dell’attacco hanno sfruttato una vulnerabilità zero-day (CVE-2021–3011) nella piattaforma , che, secondo quanto riportato , avrebbe consentito di aggirare l’autenticazione nell’interfaccia web di VSA. Avvalendosi di una sessione autenticata, gli autori dell’attacco sono riusciti a caricare un payload del ransomware REvil ed eseguire comandi tramite un’iniezion SQL .
A quanto pare, il ransomware sarebbe stato installato automaticamente tramite un falso aggiornamento software denominato “Kaseya VSA Agent Hot-fix” su tutti i sistemi gestiti. L'attacco ha colpito esclusivamente i clienti VSA con soluzione on-premises, con «meno di 60” clienti MSP coinvolti, », secondo quanto riportato da Kaseya. Tuttavia, ciascuno di questi MSP ha numerosi clienti a valle, il che aumenta notevolmente l’impatto globale.
Subito dopo l’attacco, Kaseya ha consigliato ai clienti MSP di mettere fuori servizio i propri server VSA e di attendere una patch, il cui rilascio è ora previsto su 11 luglio. Si è affermato che i clienti a valle vittime di un attacco ransomware sono stati esortati a non cliccare su alcun messaggio proveniente dai loro estorsori, poiché tali messaggi potrebbero contenere anche link dannosi.
In che modo “ Tanium ” può esservi d’aiuto
In situazioni come queste, ogni secondo è fondamentale. Le organizzazioni devono verificare tempestivamente se potrebbero essere esposte a tale minaccia e risolvere il problema il più rapidamente possibile, al fine di ridurre al minimo il rischio informatico.
Fortunatamente, Tanium consente ai clienti di verificare rapidamente la presenza del software Kaseya VSA su un gran numero di endpoint. Inoltre, consente a tali organizzazioni di modificare le procedure tecniche e di applicarle con rapidità e su larga scala man mano che emergono nuove informazioni sui fornitori. Questo è fondamentale in situazioni in rapida evoluzione come questa.
In sintesi, “ Tanium ” aiuterà la vostra organizzazione a:
Individuare il problema
Tanium Interact consente ai clienti di porre domande ai propri endpoint e ricevere risposte in tempo reale, al fine di verificare se su di essi è in esecuzione Kaseya VSA.
Tanium index è un componente presente su Tanium Asset, Tanium Integrity Monitor , Tanium e Threat Response. Può essere utilizzato per individuare installazioni dannose, quali il ransomware REvil/Sodinokibi. Grazie alla pre-indicizzazione dei sistemi e alla gestione di un database aggiornato dei file, Tanium Le consente di cercare rapidamente qualsiasi file in base al nome, a una parte del nome, all’hash, ecc., ovunque si trovi sui Suoi endpoint.
Tanium Asset può essere utilizzato per creare un report basato sulle query sopra riportate, eliminando, se necessario, eventuali host recentemente dismessi.
Tanium trends può essere utilizzato per monitorare visivamente il problema, avvalendosi delle domande presenti su Interact .
Risolvere il problema
Tanium può essere utilizzato per inviare un comando di spegnimento ai server VSA oppure per mantenerli online ma protetti tramite Tanium Quarantine.
Tanium Threat Response consente la ricerca e il rilevamento delle minacce in tempo reale utilizzando gli IoC e le informazioni sulle minacce. Qualora venissero individuate delle minacce, è possibile intraprendere ulteriori azioni tramite Tanium Quarantine o Tanium Enforce.
Le minacce alla catena di approvvigionamento ci accompagnano ormai da molti anni. Tuttavia, come dimostra questo ultimo episodio, gli autori delle minacce stanno diventando sempre più audaci e accorti nella scelta dei propri obiettivi. La migliore forma di gestione proattiva del rischio in questo contesto consiste nel disporre di strumenti in grado di garantire una visibilità continua endpoint e il controllo necessario per reagire rapidamente nei momenti critici.
È curioso di sapere come sta la sua rete? Si iscriva oggi stesso alla nostra valutazione gratuita dei rischi “ ” all’indirizzo .
