Het scheelde maar een haartje of de wereldwijde supply chain aanval van REvil was mislukt. Een groep vrijwillige securityexperts en ethische hackers waarschuwde Kaseya vrijdagavond voor een zero day exploit in de VSA-software. Voordat de IT-dienstverlener de kans kreeg om het probleem op te lossen, sloegen de Russische hackers toe. “Als we een beetje meer tijd hadden gehad, was het ons gelukt.”
Dat zeggen Wietse Boonstra en Frank Breedijk van het Dutch Institute for Vulnerability Disclosure (DIVD) tegen Vrij Nederland.
REvil eist 70 miljoen dollar om supply chain aanval ongedaan te maken
Een supply chain attack die vrijdagavond Nederlandse tijd werd uitgevoerd door leden van de Russische hackersgroep REvil, maakte afgelopen weekend wereldwijd honderden slachtoffers. De aanvallers gingen slim te werk: ze zochten een veelgebruikte tool om ICT-applicaties en computersystemen op afstand te beheren. Zodoende kwamen ze uit bij de VSA-software van de Amerikaanse IT-dienstverlener Kaseya. Dankzij een zero day exploit in de software wisten ze ongemerkt de systemen van bedrijven en organisaties binnen te dringen en ransomware te installeren.
Honderden bedrijven en organisaties wereldwijd kunnen hierdoor niet langer inloggen op hun systemen. Data is ontoegankelijk en werken onmogelijk gemaakt. Supermarktketen Coop in Zweden moest noodgedwongen honderden filialen sluiten, omdat het kassasysteem niet langer werkte. Ook in ons land zijn er slachtoffers van de Russische aanval op de leveranciersketen. Voor zover bekend zijn er op dit moment geen Nederlandse zorginstellingen die door de aanval getroffen zijn.
De hackers die verantwoordelijk zijn voor de wereldwijde aanval eisen 70 miljoen dollar in bitcoin van de slachtoffers. Als ze dit bedrag betalen, publiceren de daders een universele decoderingssleutel of decryptor. Met deze sleutel kunnen de gedupeerden naar eigen zeggen ‘binnen een uur’ weer aan de slag.
Ethische hackers uit Nederland ontdekken zero day exploit in VSA-software
De cyberaanval van REvil zorgt wereldwijd voor veel ellende. Wat het voorval extra tragisch maakt, is dat hij op een haartje na verhinderd was. Dat was allemaal te danken aan een handjevol Nederlandse vrijwilligers, verenigd in het Dutch Institute for Vulnerability Disclosure (DIVD). Deze club bestaat uit cybersecurityspecialisten en ervaren ethische hackers die naast hun baan en vrijwillige basis software testen om kwetsbaarheden aan het licht te brengen, en daarmee het internet veilig houden. Als ze iets aantreffen, waarschuwen ze direct het bedrijf dat verantwoordelijk is voor de software.
Het DIVD probeerde al een tijdje de aanval van afgelopen weekend te voorkomen. Wietse Boonstra voerde een penetratietest of pentest uit en ontdekte dat de VSA-software van Kaseya een lek bevatte. Daarmee kon hij zonder gebruikersnaam en wachtwoord inloggen en malware installeren. Frank Breedijk, een vrijwilliger die actief is bij het DIVD, benadrukt hoe gevaarlijk dit is. “Iemand die in een Kaseya VSA-systeem inbreekt, krijgt in één keer toegang tot alle computers die door dit systeem beheerd worden. Dat zijn er soms wel honderden.”
Boonstra en Breedijk beseften al snel hoe groot het probleem was. Via de ontdekte zero day exploit was het mogelijk om een grote impact te maken, zowel op de Nederlandse als internationale economie en maatschappij. Ze waarschuwden Kaseya en werkten samen aan een oplossing om het lek te dichten.
‘Als we een beetje meer tijd hadden gehad, was het ons gelukt’
Helaas slaagden de partijen er niet in om op tijd een patch uit te rollen die het lek dicht. Kaseya waarschuwde haar klanten dat hackers misbruik hadden gemaakt van de zero day exploit en hun systemen wellicht geïnfecteerd waren. Het bedrijf adviseerde klanten om hun computers onmiddellijk uit te schakelen en voorlopig niet in te loggen. Het Nationaal Cyber Security Centrum (NCSC) nam deze aanbeveling over.
“Net voor de finish werden ze [de vrijwilligers van het DIVD, red] ingehaald door de Russische criminelen. Een handjevol vrijwilligers tegen mensen die honderden miljoenen tot hun beschikking hebben. Vrijwilligers die overdag zware banen hebben”, zo schrijft Vrij Nederland. Boonstra en Breedijk balen er flink van. “Als we een beetje meer tijd hadden gehad, was het ons gelukt.”
