Alert!

Jetzt patchen! Sicherheitspatch schließt REvil-Lücke in Kaseya VSA

Admins sollten die IT-Management-Software VSA von Kaseya zügig aktualisieren. Angreifer nutzen derzeit mehrere Sicherheitslücken aus.

Lesezeit: 2 Min.
In Pocket speichern
vorlesen Druckansicht Kommentare lesen 6 Beiträge

(Bild: VideoFlow/Shutterstock.com)

Von
  • Dennis Schirrmacher

Mehr als eine Woche nach Bekanntwerden von Attacken auf Kaseya-Kunden, die die VSA-Plattform zum Verwalten von Software nutzen, ist nun ein Sicherheitspatch erschienen. Admins sollten sofort handeln und die abgesicherte Version installieren.

Geschieht dies nicht, setzen Angreifer an drei Schwachstellen (CVE-2021-30116, CVE-2021-30119, CVE-2021-30120) an und installieren den Erpressungstrojaner REvil auf Systemen. Der Schädling verschlüsselt Dateien und fordert Lösegeld.

Setzen Angreifer erfolgreich an der als "kritisch" eingestuften Lücke mit der Kennung CVE-2021-30116 an, könnten sie auf nicht näher beschriebenem Weg unberechtigt auf Systeme zugreifen. Der Bedrohungsgrad der beiden anderen Schwachstellen ist noch nicht eingestuft. Erfolgreiche Attacken können aber dazu führen, dass Angreifer eine Zwei-Faktor-Authentifizierung umgehen. Sicherheitsforscher gehen davon aus, dass die Angreifer die Lücken miteinander kombinieren.

Nun ist die mehrfach verschobene Ausgabe VSA 9.5.7a (9.5.7.2994) als Download verfügbar. Damit schließt Kaseya eigenen Angaben zufolge die Einfallstore für REvil. Bevor Admins das Update installieren, sollten sie dringend noch einige Sicherheitstipps befolgen, die Kaseya in einem Beitrag zusammengetragen hat.

Lesen Sie auch

Darin weisen sie unter anderem darauf hin, dass verwundbare VSA-Server von anderen Systemen isoliert sein müssen, bevor sie wieder online gehen. Andernfalls könnte direkt eine Infektion stattfinden, die sich im Netzwerk ausbreitet. Außerdem sollten Admins mit Tools prüfen, ob Server bereits kompromittiert sind. Sehr wichtig ist auch, dass VSA-Server nicht direkt aus dem Internet erreichbar sind.

In einer aktualisierten Warnmeldung versichert Kaseya, dass mittlerweile 95 Prozent der Cloud-VSA-Server (SaaS) abgesichert und wieder online sind. Kunden mit eigenen Installationen (On Premise) müssen den Patch selber installieren.

Bei diesem Fall handelt es sich um einen Lieferketten-Angriff. Betroffen ist die IT-Management-Software VSA von Kaseya. Damit können Admins in Unternehmen unter anderem Anwendungen aus der Ferne aktualisieren. Weltweit nutzen tausende Kunden VSA.

Aufgrund von Sicherheitslücken in dieser Software attackieren die REvil-Hintermänner die Kaseya-Kunden. Kaseya gibt an, das rund 60 Kunden direkt betroffen sind. Aufgrund des Domino-Effekts von so einem Lieferketten-Angriff gehen sie von rund 1500 betroffenen Unternehmen aus.

Mehr zum Lieferketten-Angriff über Kasey:

(des)