上周五，美國軟件開發(fā)商 Kaseya Ltd. 遭遇了勒索軟件 REvil 的攻擊，攻擊主要集中在 Kaseya VSA 軟件上，這次攻擊影響了多個托管服務(wù)提供商及其一千多名客戶。
Kaseya 是一家來自瑞典的 IT 公司，于1999年獲得了美國專利局認證的 Kaseya VSA（虛擬系統(tǒng)管理）專利和連接算法專利。Kaseya VSA 是一個基于云的 MSP 平臺，允許提供商為其客戶執(zhí)行補丁管理和客戶端監(jiān)控，該平臺為客戶提供了一套基于 Web 的新一代自動化 IT 系統(tǒng)管理解決方案。MSP 是一種通過建立自己的網(wǎng)絡(luò)運作中心（NOC，Network Operating Center）來為企業(yè)提供24×7×365的系統(tǒng)管理服務(wù)的業(yè)務(wù)。MSP 可以實現(xiàn)遠程的管理、實時的監(jiān)控和對企業(yè)系統(tǒng)運作情況的統(tǒng)計。
為了獲得更好的服務(wù)，在對 MSP 進行選擇時，企業(yè)一般會選擇有強大的市場占有率的產(chǎn)品品牌。Kaseya 就是這樣一個品牌，至今，Kaseya 在全球已經(jīng)擁有了超過10000家客戶，其中包括50%以上的全球100強 IT 管理服務(wù)提供商及各大龍頭企業(yè)，分別來自銀行業(yè)、金融業(yè)、零售業(yè)、貿(mào)易業(yè)、教育機構(gòu)、政府機構(gòu)、醫(yī)療機構(gòu)和交通運輸業(yè)等領(lǐng)域。截止2011年底，全球有超過1300萬臺以上的終端和設(shè)備通過 Kaseya 的軟件進行管理。
為什么是 Kaseya？
正是因為很多大型企業(yè)和技術(shù)服務(wù)供應(yīng)商都選擇使用 Kaseya VSA，Kaseya 才被選中成為此次供應(yīng)鏈攻擊的對象。
供應(yīng)鏈攻擊是一種面向軟件開發(fā)人員和供應(yīng)商的攻擊方式。攻擊者通過在應(yīng)用中尋找不安全的網(wǎng)絡(luò)協(xié)議、未受保護的服務(wù)器基礎(chǔ)結(jié)構(gòu)和不安全的編碼做法，來感染合法應(yīng)用，分發(fā)惡意軟件。
一般來說，軟件由受信任的供應(yīng)商構(gòu)建和發(fā)布， 因此這些應(yīng)用和更新版本已被簽名并經(jīng)過相關(guān)安全認證。在軟件供應(yīng)鏈攻擊中， 供應(yīng)商可能未意識到他們的應(yīng)用或更新在發(fā)布到公眾時已經(jīng)受到惡意代碼的感染，因此一旦供應(yīng)鏈攻擊成功，惡意代碼將以與應(yīng)用相同的信任和權(quán)限運行。
MSP 對于勒索軟件團伙來說是一個高價值的目標，它們提供了一種通過單一漏洞感染許多公司的簡單渠道，但發(fā)起攻擊需要黑客對 MSP 及其使用的軟件有深入了解。
REvil 就是個中好手。REvil 擁有一個精通 MSP 使用的技術(shù)的分支機構(gòu)，長期以來一直針對這些公司及其常用軟件進行研究。與其他勒索軟件一樣，REvil 的勒索軟件會鎖住受害者的電腦，直到受害者以比特幣的形式支付數(shù)字贖金。
Kaseya 是否會支付贖金？
REvil 不僅精心挑選了他們的獵物，為保萬無一失，他們甚至精心挑選了攻擊時間。通常來說，多數(shù)大規(guī)模勒索軟件攻擊都是在周末的深夜進行，因為此時監(jiān)控網(wǎng)絡(luò)的人員較少。REvil 卻選擇在周五中午發(fā)起攻擊，在即將到來的周末之前，員工的工作時間可能縮短且效率不高。
REvil 精心策劃的攻擊實施得相當順利。周五，Kaseya 收到了客戶的報告，報告顯示 Kaseya VSA 本地產(chǎn)品管理的端點出現(xiàn)了異常行為，不久后，Kaseya 進一步發(fā)現(xiàn)勒索軟件正在端點上執(zhí)行?；谟脩舻膱蟾妫?Kaseya 的執(zhí)行團隊迅速召開了會議并決定采取兩個步驟來阻止惡意軟件的傳播：向本地客戶發(fā)送通知，要求用戶關(guān)閉他們的 VSA 服務(wù)器以及關(guān)閉 Kaseya 的 VSA SaaS 基礎(chǔ)設(shè)施。
通過調(diào)查，Kaseya 的安全團隊發(fā)現(xiàn)勒索軟件使用了 Kaseya VSA 中的一個漏洞，并宣布將盡快發(fā)布補丁。據(jù)稱，此次網(wǎng)絡(luò)攻擊是 REvil 有史以來發(fā)起的規(guī)模最大的一次攻擊，已有八個已知的大型 MSP 受到攻擊，并且可能已導(dǎo)致全球多達 4 萬臺電腦被感染。
根據(jù)暗網(wǎng)博客上發(fā)布的信息，REvil 勒索軟件團伙聲稱已經(jīng)鎖定了超過 100 萬個系統(tǒng)。
翻譯內(nèi)容如下：上周五（02.07.2021）我們對 MSP 供應(yīng)商發(fā)起了一次攻擊。超過 100 萬的系統(tǒng)被感染。如果有人想就通用解密器進行談判--我們的價格是 70000000 美元（BTC），我們將公開發(fā)布解密器，解密所有受害者的文件，所以每個人都將能夠在不到一個小時內(nèi)從攻擊中恢復(fù)。如果你對這樣的交易感興趣，請按照受害者的 “readme”文件說明與我們聯(lián)系。
至今，Kaseya 并未表明是否會考慮支付贖金。官方發(fā)布的信息表示，越來越多的 MSP、經(jīng)銷商及其客戶受到了此次攻擊事件的影響，Kaseya 聲明將繼續(xù)展開調(diào)查、公布信息，盡力降低客戶的損失。
慣犯 REvil ，作案太頻繁
7000萬美元聽上去是一個天文數(shù)字，但是這不是 REvil 第一次獅子大開口了。2020 年 5 月，REvil 聲稱破譯了唐納德·特朗普公司用于保護其數(shù)據(jù)的橢圓曲線密碼術(shù)，并為他們盜竊的數(shù)據(jù)索要4200萬美元的贖金。
最開始，REvil 因從服務(wù)于全球影視娛樂巨星的律師事務(wù)所—— Grubman Shire Meiselas & Sacks 竊取了近 1 TB的信息并勒索贖金而聞名，從此以后 REvil 就與LadyGaga、埃爾頓·約翰、羅伯特·德尼羅和麥當娜等知名巨星的名字緊緊聯(lián)系在一起。
打出名號之后，作為黑客界的“明星”，REvil 的犯案頻率簡直可以評為勞模，僅2021年就憑借其每月至少一起的作案頻率頻頻占據(jù)頭版頭條。
3 月 18 日，REvil 附屬公司在網(wǎng)絡(luò)上聲稱，他們已從跨國硬件和電子公司宏碁安裝勒索軟件并盜取大量數(shù)據(jù)，并為此索取5000萬美元的贖金。
3 月 27 日，REvil 攻擊哈里斯聯(lián)盟，并在其博客上發(fā)布了聯(lián)盟的多份財務(wù)文件。
4 月，REvil 竊取了廣達電腦即將推出的蘋果產(chǎn)品的計劃，并威脅要公開發(fā)布這些計劃，除非他們收到 5000 萬美元作為贖金。
5 月 30 日，全球最大肉類供應(yīng)商 JBS 受到 REvil 勒索軟件的攻擊，該公司不得不將所有美國牛肉工廠暫時關(guān)閉，并中斷了家禽和豬肉工廠的運營。最終，JBS 還是向 REvil支付了 1100 萬美元的比特幣贖金。
6 月 11 日，全球再生能源巨擘 Invenergy 證實其作業(yè)系統(tǒng)遭到了勒索軟件的攻擊，REvil聲稱對此事負責。
7月僅僅過去兩天，REvil 就按捺不住對 Kaseya 出手了。
為何受害企業(yè)卻只能打碎牙往肚里咽？
除了組織本身以外，REvil 還招募了很多附屬機構(gòu)為他們分發(fā)勒索軟件，這些附屬機構(gòu)和勒索軟件開發(fā)商都將從支付贖金產(chǎn)生的收入中獲利，也代表著最終贖金會有多個去向，因此 REvil 團伙確切位置難以確定。
對于該組織，各國政府也深惡痛絕，多次下令進行嚴厲打擊。不幸的是，之前的事件基本是以 REvil 勒索成功告終，這次的 Kaseya 事件又會怎樣結(jié)束呢？
