Incluso para una organización de tamaño medio, hacer un seguimiento de sus dependencias dentro de la cadena de suministro de software puede resultar una tarea abrumadora. No obstante, mejorar la visibilidad es cada vez más importante para una gestión eficaz de los riesgos. Otro ciberataque a la cadena de suministro ocurrido la semana pasada nos ha recordado por qué: ha afectado, posiblemente, a hasta 1,500 organizaciones con un programa de rescate. Afortunadamente para los clientes de Tanium, disponen de las herramientas necesarias para reaccionar con rapidez y neutralizar la amenaza.
Vea este vídeo para descubrir cómo Tanium Threat Response puede gestionar la vulnerabilidad de Kaseya en menos de tres minutos:
https://youtu.be/tYYg6M9upMg
¿Qué ocurrió en Kaseya?
El ataque se produjo el viernes, July 2, justo antes del fin de semana festivo. Probablemente se trató de una estrategia deliberada para pillar desprevenidos a los equipos de seguridad informática. El ataque se dirigió contra Kaseya VSA, una plataforma de gestión de parches y vulnerabilidades utilizada, según las estimaciones, por 40,000 proveedores de servicios gestionados (MSP).
Los atacantes aprovecharon una vulnerabilidad de día cero (CVE-2021–3011) en la plataforma , que, según se cree , habría permitido eludir el proceso de autenticación en la interfaz web de VSA. Aprovechando una sesión autenticada, los autores del ataque lograron cargar una carga útil del ransomware REvil y ejecutar comandos mediante una inyección SQL.
Al parecer, el ransomware se instaló automáticamente a través de una actualización de software falsa denominada «Kaseya VSA Agent Hot-fix» en todos los sistemas gestionados. El ataque solo afectó a los clientes de VSA con instalación local, y «menos de 60” clientes de MSP se vieron afectados, », según Kaseya. Sin embargo, cada uno de estos MSP cuenta con múltiples clientes en las fases posteriores de la cadena de suministro, lo que aumenta considerablemente el impacto global.
Inmediatamente después del ataque, Kaseya recomendó a los clientes de MSP que desconectaran sus servidores VSA y esperaran a que se publicara un parche, cuyo lanzamiento está previsto ahora en July 11. Según se ha afirmado, se instó a los clientes de la cadena de suministro afectados por un ransomware a que no hicieran clic en ningún mensaje procedente de sus extorsionadores, ya que estos también podrían contener enlaces maliciosos.
Cómo puede ayudarle Tanium
En situaciones como estas, cada segundo cuenta. Las organizaciones deben comprobar rápidamente si pueden estar expuestas a esta amenaza y solucionar el problema lo antes posible para minimizar el riesgo cibernético.
Afortunadamente, Tanium permite a los clientes comprobar rápidamente si el software Kaseya VSA está instalado en un gran número de terminales. Además, permite a estas organizaciones modificar los manuales técnicos y aplicarlos con rapidez y a gran escala a medida que surge nueva información sobre los proveedores. Esto resulta fundamental en situaciones que evolucionan rápidamente como esta.
En resumen, Tanium ayudará a su organización a:
Identifique el problema
Tanium Interact permite a los clientes realizar consultas a sus terminales y recibir respuestas en tiempo real, con el fin de comprobar si están ejecutando Kaseya VSA.
Tanium Index es un componente de Tanium Asset, Tanium Integrity Monitor y Tanium Threat Response. Se puede utilizar para detectar instalaciones maliciosas, como el ransomware REvil/Sodinokibi. Gracias a los sistemas de indexación previa y al mantenimiento de una base de datos actualizada de archivos, Tanium le permite buscar rápidamente cualquier archivo por nombre, parte del nombre o hash, etc., en cualquier lugar de sus terminales.
, de Tanium Asset, puede utilizarse para crear un informe basado en las consultas anteriores, excluyendo, si fuera necesario, cualquier host que haya sido dado de baja recientemente.
Se puede utilizar «Tanium Trends» ( ) para realizar un seguimiento visual del problema, aprovechando las preguntas de Interact.
Solucione el problema
Tanium puede utilizarse para enviar un comando de apagado a los servidores VSA o para mantenerlos en línea, pero protegidos, a través de Tanium Quarantine.
La plataforma de respuesta ante amenazas de Tanium ( ) permite la búsqueda y detección de amenazas en tiempo real mediante indicadores de compromiso (IoC) e inteligencia sobre amenazas. Si se detectan amenazas, se pueden adoptar medidas adicionales a través de Tanium Quarantine o Tanium Enforce.
Las amenazas a la cadena de suministro llevan muchos años entre nosotros. Sin embargo, tal y como demuestra este último incidente, los autores de las amenazas se están volviendo cada vez más atrevidos y astutos a la hora de elegir sus objetivos. La mejor forma de gestionar los riesgos de forma proactiva en este contexto consiste en disponer de herramientas que ofrezcan una visibilidad continua de los terminales y el control necesario para responder con rapidez cuando sea necesario.
¿Tiene curiosidad por saber cuál es el estado de su red? Inscríbase hoy mismo en nuestra evaluación gratuita de riesgos « » ( ).
