El proveedor de software Kaseya dijo el lunes por la noche que “entre 800 y 1,500 empresas podrían haber sido alcanzadas y que alrededor de 60 han sido afectadas directamente” por el reciente ataque de ransomware REvil que afectó a empresas de todo el mundo y que comenzó el viernes 2 de julio. De acuerdo a ESET, el ataque se llevó a cabo mediante la explotación de una vulnerabilidad zero-day (CVE-2021-30116) que se estaba reparando.
El ransomware REvil, también conocido somo Sodinokibi, afectó a más de 1,000 compañías en al menos 17 países del mundo mediante un ataque de cadena de suministro utilizando un instalador de una actualización automática del software de gestión de IT de la compañía Kaseya, que es utilizado comúnmente por proveedores de servicios administrados (MSP, por sus siglas en inglés). Así, la actualización con permisos de administrador afectó a los MSP y estos a su vez infectaron los sistemas de sus clientes en n Reino Unido, Sudáfrica, Canadá, Alemania, Estados Unidos, Colombia, Suecia, Kenia, Argentina, México, Holanda, Indonesia, Japón, Mauritania, Nueva Zelanda, España y Turquía.
Kaseya, compañía que cuenta con aproximadamente 40,000 clientes, explicó en su sitio web que notificó a las personas potencialmente afectadas con la recomendación de cerrar posibles servidores VSA de manera inmediata hasta tanto se publique el parche. Sin embargo, para muchas empresas ya había sido tarde y ya habían sido afectadas por el ransomware que cifró su información. Así una vez que REvil cifra la información el fondo del escritorio cambia a una imagen como esta:
El pago solicitado a cada víctima de este ataque es distinto para cada caso, llegando a 5 millones de dólares el monto más elevado que algunos investigadores aseguran haber visto. Este ataque de REvil solo cifró los archivos de las víctimas y no robó información previo al cifrado para extorsionar a las víctimas que no paguen con filtrar la información secuestrada, algo que suele hacer este ransomware. Ademas, el hecho de que no se hubiera robado información sugiere que los atacantes no accedieron a la red de la víctima, sino que abusaron de la vulnerabilidad de Kaseya VSA para distribuir y ejecutar el malware.
En las últimas horas el grupo REvil publicó en su sitio de la dark web que ofrece a las víctimas de Kaseya un descifrador para que puedan recuperar los archivos del cifrado a cambio de 70 millones de dólares. Según el grupo, más de un millón de sistemas fueron comprometidos. Sin embargo, los operadores detrás del grupo parecen abiertos a negociar por un precio más bajo el descifrador.
Por su parte, el instituto holandés para la divulgación de vulnerabilidades (DIVD, por sus siglas en inglés) que fue quien descubrió la zero-day y la reportó a Kaseya, publicó información el 4 de julio en la que afirma que en las últimas 48 horas el número de instancias de Kaseya VSA a las cuales se puede acceder desde Internet bajó de 2,200 a menos de 140.
Finalmente la CISA y el FBI han compartido una guía para las víctimas del ataque, aunque reconocen que “debido a la escala potencial de este incidente, es posible que el FBI y CISA no puedan responder a cada víctima individualmente, pero toda la información que recibamos será útil para contrarrestar esta amenaza”. Por el momento el problema persiste y habrá que cómo termina.
C.