Kaseya supply chain attack - another Solarwind case but with ransomware

Kaseya VSA adalah software yang cukup umum digunakan oleh MSP (Managed Service Providers) untuk membantu memudahkan me-manage client mereka

Pada tanggal 3 Juli pagi (waktu Indonesia bagian barat), auto update pada product Kaseya VSA - yang terlihat "valid" - berhasil menyebarkan REvil ransomware.

Secara design product ini memang memiliki hak ases penuh setara Administrator, yang berarti MSP (Managed Service Providers) yang terkena / terinfeksi ransomware tersebut, dapat menyebarkan ransomware yang sama ke perangkat client mereka / end user.
Secara simple berarti sebuah bencana.

Penyebaran REvil Ransomware

Kaseya secara design membutuhkan Level Permission yang tinggi. Permission ini sesuai dengan tujuan nya, yakni agar Kaseya mampu menghandle & me-manage sistem tersebut. Dan di sisi lain, ransomware juga memanfaatkan privileges ini untuk mem-push dirinya sendiri ke dalam sistem tersebut.

Di dalam kasus ini, si attacker (penyerang) melakukan semacam push update yang dimana secara otomatis ransomware akan terinstall di semua sistem yang dimanage oleh Kaseya itu sendiri - dengan kata lain impact nya sangat-sangat besar.

Selain itu, Kaseya juga merekomendasikan untuk meng-exclude beberapa folder dari scanning Antivirus. Dan hasil rekomendasi dari Kaseya ini juga dimanfaatkan oleh si penyerang, untuk memudahkan operasi nya dalam menyebarkan ransomware tersebut.

Teknik Penyerangan

Pada kasus Kaseya ini ada beberapa jenis atau cara yang digunakan oleh si penyerang untuk memuluskan serangan ransomware ini. Salah satunya adalah Tampering (menggangu) Microsoft Defender. Perintah / command yang dijalankan adalah sebagai berikut :

powershell.exe Set-MpPreference -DisableRealtimeMonitoring $true -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -EnableNetworkProtection AuditMode -Force -MAPSReporting Disabled -SubmitSamplesConsent NeverSend

Dimana secara garis besar, perintah / command yang dijalankan tersebut bertujuan untuk :

• Menonaktifkan IPS
• Menonaktifkan Real Time Scanning
• Menonaktifkan Controlled Folder Access (Ransomware Prevention)
• Menonaktifkan Script Scanning
• Menonaktifkan Cloud Lookup
• Mematikan fitur Cloud Sample Submission
• Menonaktifkan Network Protection

IoC's (Indicators of Compromise)

d55f983c994caa160ec63a59f6b4250fe67fb3e8c43a388aec60a4a6978e9f1e

8dd620d9aeb35960bb766458c8890ede987c33d239cf730f93fe49d90ae759dd

e2a24ab94f865caeacdf2c3ad015f31f23008ac6db8312c2cbfb32e4a5466ea2

Statement dari Kaseya

We are in the process of investigating the root cause of the incident with an abundance of caution but we recommend that you IMMEDIATELY shutdown your VSA server until you receive further notice from us. Its critical that you do this immediately, because one of the first things the attacker does is shutoff administrative access to the VSA

Let's talk casually now....

Impact dari kasus ini bisa jadi sangat luar biasa.
Kalau dilihat dari beberapa berita yang sudah beredar di dunia maya, customer / user yang bahkan bukan merupakan customer langsung dari Kaseya itu sendiri juga terkena dampak operasional yang masif.

Dapat dikatakan kasus ini sudah merupakan kasus skala besar / masif dan dapat dikategorikan sebagai Supply Chain Attack. Kasus ini juga seharusnya jadi pelajaran untuk Pemerintah dan instansi / organisasi lain nya, agar lebih serius mengenai keamanan cyber.

Seperti contoh yang sudah saya referensikan diatas, Coop merupakan salah satu grocery store terbesar di Swedia. Mereka menghentikan layanan grocery store mereka di 800 cabang, karena terkena dampak dari kasus serangan cyber ini.

Apabaila kasus seperti Kaseya ini kita kaitkan dengan situasi pandemi COVID19 saat ini, maka jika layanan seperti supermarket / grocery store besar tutup atau food industry tidak dapat beroperasi, bisa dibayangkan bagaimana dampak nya untuk pemenuhan kebutuhan hidup sehari-hari?

Dan tidak menutup kemungkinan, hal-hal seperti ini juga bisa menyerang dan berdampak kepada industri Healthcare. Yang dimana seperti kita ketahui, industri Healthcare adalah salah satu industri yang paling tidak diharapkan untuk terkena dampak serangan seperti ini, khususnya di momen pandemi COVID19 yang sedang terjadi saat ini.

Di momen pandemi COVID19 saat ini, bisakah anda bayangkan dampak yang terjadi jika industri seperti Healthcare, Food Industry, dan sejenisnya sampai harus menutup layanan operasional nya karena serangan cyber seperti ini?

Untuk itu harapan nya Pemerintah, Instansi / Organisasi terkait dan juga para staff IT khususnya divisi IT Operation / IT Security, untuk lebih peka dan peduli terhadap infrastruktur sistem masing-masing, demi mencegah hal-hal yang tidak diingingkan.

My personal thoughts

Belajar dan berkaca dari sudah banyaknya kasus yang terjadi, khusus nya dari kasus Kaseya ini, secara pribadi saya sangat menyarankan (dan cukup sering saya katakan di beberapa training yang saya lakukan) untuk :

TIDAK MENGIKUTI SARAN KASEYA DALAM MELAKUKAN "PENGECUALIAN/EXCLUSION" TERHADAP TOOLS SEMACAM KASEYA INI DARI PROTEKSI YANG DITAWARKAN OLEH ANTIVIRUS atau ENDPOINT PROTECTION

Mengapa?

Seperti yang sudah dijelaskan diatas, tools atau software semacam Kaseya VSA ini membutuhkan ijin Priviliges Administrator yang sangat tinggi. Untuk itu, jika tools semacam ini diberikan pengecualian dari protection antivirus / endpoint protection, maka siapa yang akan mengawasi nya?

Mungkin jawaban nya adalah manusia, mungkin. Tetapi, manusia layaknya software tidak lah sempurna. Semua nya punya kekurangan.

Dan jika anda rasa saran saya tersebut tidak cocok dikarenakan masalah "usability", maka selanjutnya langkah yang saya anjurkan adalah challenge vendor software tersebut agar software / tools sejenis bisa tetap berjalan, meskipun tidak di exclude dari Antivirus / Endpoint Protection.

Karena dalam Security, tidak ada pernah ada yang namanya aman.
Dan Security tidak akan pernah berjalan mulus dengan Usability ✌️