Kaseya zegt niet te hebben betaald voor ransomwaredecryptor

Kaseya heeft niet betaald voor de decryptor voor de REvil-ransomware die via het bedrijf werd verspreid. Het bedrijf zegt nog steeds niet hoe het de decryptor heeft gekregen, maar ontkent dat het daarvoor heeft betaald.

Dat schrijft het bedrijf in een update over de recente ransomwareaanval. Honderden bedrijven werden wereldwijd getroffen door de REvil-ransomware, die werd verspreid via de msp-software die Kaseya aanbood. Kaseya kreeg eerder deze maand van een onbekende partij een decryptor waarmee klanten hun systemen die door de gijzelsoftware waren getroffen konden ontsleutelen. Het bedrijf zei toen niet hoe het aan die tool kwam.

Door het zwijgen van Kaseya over dat onderwerp dachten veel mensen dat het bedrijf betaald had voor de decryptor. "We hebben geleerd dat we door ons zwijgen rondom het betalen van het losgeld mogelijk nieuwe ransomware-aanvallen kunnen uitlokken", zegt Kaseya. "Dat is niet ons doel." Het bedrijf zegt dat het met experts heeft gesproken over het betalen van het losgeld, maar dat het na die gesprekken besloot niet te onderhandelen met de hackers. "Daarom zeggen we in niet mis te verstane woorden dat Kaseya het losgeld niet heeft betaald", zegt het bedrijf. Het voegt daaraan toe dat dat zowel niet direct als indirect via bijvoorbeeld een derde partij is gebeurd.

Het blijft wel onduidelijk hoe Kaseya de decryptor dan heeft gekregen. De aanval was uniek omdat de criminelen achter REvil niet van ieder bedrijf apart losgeld eisten, maar één prijs vroegen voor een algemene decryptor. De decryptor die Kaseya nu heeft, is volgens het bedrijf '100 procent effectief'. Kaseya geeft de decryptor aan klanten, maar maakt die niet openbaar beschikbaar.

Reacties (49)

[threaker2]

Ze zeggen alleen dat Kaseya niet betaald heeft. Niet dat er niet betaald is.

[Kalder]

"Daarom zeggen we in niet te mistane woorden dat Kaseya het losgeld niet heeft betaald", zegt het bedrijf. Het voegt daaraan toe dat dat zowel niet direct als indirect via bijvoorbeeld een derde partij is gebeurd.

Ze zeggen dus dat er gewoon niet voor betaald is, even het artikeltje lezen.

[threaker2]

Dat is wat Tweakers er van maakt. In de (engelstalige) bron zie ik dat niet staan.;

[KoffieAnanas]

As such, we are confirming in no uncertain terms that Kaseya did not pay a ransom – either directly or indirectly through a third party – to obtain the decryptor.

Een verzekeraar die betaald zou hebben, kun je opvatten als indirectly. Als er al betaald zou zijn, dan is Kaseya daar niet bij betrokken, lijkt mij, anders doet het afbreuk aan hun eigen geloofwaardigheid.

[Reactie gewijzigd door KoffieAnanas op 23 juli 2024 02:32]

[janbaarda]

Ergo die "Russische staatshacker" kunnen niet eens een fatsoenlijke encryptie maken.

Wat ook mogelijk is, is dat een bekend encryptie algoritme is gebruikt dat inherent niet veilig is. We weten dat in het verleden encryptie algoritmes bedacht zijn door DARPA, waarin opzettelijk een zwakheid werd aangebracht.

[Lapa]

edit: reactie op verkeerde plek geplaatst.

[Reactie gewijzigd door Lapa op 23 juli 2024 02:32]

[TijsZonderH]

Het zou inderdaad theoretisch kunnen dat een verzekeraar of bedrijf dat niet aan Kaseya is gelinkt het heeft betaald, al lijkt me dat communicatief spelen met vuur voor Kaseya...

[OxWax]

Misschien een voorwaarde van de verzekering of vraag van politie? Klanten kan het vast niks schelen hoe de decryptor verkregen is. Bedrijf is niet verplicht interne keuken te communiceren (daar hebben ze een speciale lijn naar Bloomberg voor )

[dasiro]

advocaten zullen deze verklaring wel 5x omgedraaid hebben vooraleer ze goedgekeurd is geweest

[Dramatic]

Staan verzekeraars er dan om bekend om vrijwillig geld over te maken aan entiteiten waar ze niks mee van doen hebben?

[ErwinPeters]

... Ja.

[Lapa]

Het is niet uitgesloten dat een van de getroffen bedrijven betaald heeft, maar er zelf ook geen belang bij heeft als dat uitkomt. Dan zouden de uitspraken van Kaseya nog steeds (soort van) kloppen.

Maar er zijn inderdaad ook allerlei scenario's denkbaar waarbij er in het geheel niet betaald is.

[Lagonas]

Waarom zou iemand anders voor Kaseya betalen?

[Anonymoussaurus]

Wellicht een grote investeerder van Kaseya?

[themadone]

of een klant die door moet?

[threaker2]

Aandeelhouder(s) of klanten.

[elmuerte]

Omdat die partij een onderhandse opdracht gekregen heeft van Kaseya om te betalen.

[YopY]

"National security" redenen misschien?

[Toettoetdaan]

Precies, die hebben gewoon een ontwikkelaar omgekocht.

[m_snel]

Als je natuurlijk een tool met een key uitrolt kan je natuurlijk niet honderden getroffen bedrijven op nieuw laten betalen.
Maar het is natuurlijk wel heel toevallig dat de site uit de lucht is en de key vrijgegeven.
Zo zie je maar dat een gesprek op het juiste niveau soms voldoende is.

[themadone]

plot twist, de broer van een van de hackers heeft een IT bedrijf en gebruikt Kaseya

[m_snel]

Dan geef je het natuurlijk alleen aan je broer, maar dan hoef je natuurlijk niet je site offline te halen.

[themadone]

kan zijn dat bijvoorbeeld de NSA ze gepakt heeft natuurlijk, maar dan snap ik niet dat de revil decryptor niet publiek is gemaakt voor iedereen?

[Verwijderd]

Ransomware aanvallen zijn nuttig, het maakt duidelijk zien hoe alles er voor staat zonder mogelijkheid om te ontkennen of te bagatelliseren.

Pandemie en ransomware hebben meer goed dan slechts veroorzaakt voor IT.

Vreemde bewoordingen. Ik denk te snappen wat jij bedoelt, maar de woorden "nuttig", "meer goed dan slecht" hanteren voor ransomware vind ik wel heel vergezocht. Dat ransomware menselijke beperkingen, slordigheden, procedure-fouten, programmeerfouten en kwetsbaarheden bij de diensten ingericht door mensen en bedrijven misbruikt en daarmee openbaar maakt is duidelijk. Maar die kunnen ook op minder schadelijke en legale manieren openbaar worden gemaakt. Ransomware wordt simpelweg gebruikt door criminelen.
Nog wat stellingen:

• Malaria, Kanker, Mutiple Sclerose, TBC etc. etc. heeft meer goeds dan slechts gedaan voor de mensheid. (Want daardoor wordt de geneeskunde gedwongen om oplossingen daarvoor te verzinnen).
• Wapens hebben meer goed dan slechts gedaan voor de mensheid. (Want daardoor is de mens gedwongen geweest om beschermingsmiddelen te ontwikkelen als kogelvrije vesten, malienkolders, harnassen en wapens die gerichter kunnen schieten).
• Corona heeft meer goed gedaan dan slecht voor de wereld (Want nu beseft de hele wereld hoe kwetsbaar de wereldeconomie is en hoe afhankelijk wij mensen zijn van elkaar.)
• Slavernij in de 500 jaar geleden heeft meer goed dan slecht gedaan voor de zwarte bevolking. (Want nu worden ze meer als gelijken gezien als toen.)

[Reactie gewijzigd door Verwijderd op 23 juli 2024 02:32]

[sniper20]

Die Kaseya server staat helemaal niet bij de klant in geval van een MSP. Dus hoezo 443 inbound open bij klanten?

[AntiSpam]

On premise beheertool die MSP gebruikt wel.

Bron zit dicht bij vulnerability melder.

[JJ Le Funk]

ik vermoed dat één van Kaseya's klanten betaald heeft voor de key. Deze gedeeld werd met Kaseya voor de toepassing ervan, zij doen immers het beheer. En Kaseya er gaandeweg achter kwam dat dezelfde key voor alle getroffen klanten werkt.

[lvmeijer]

Of een (geheime)overheidsdienst heeft de key bemachtigd. De sites van deze organisaties gingen ook op zwart.

[YopY]

Ik denk dat dit hem idd is; partijen als de NSA hebben heel veel geïnvesteerd in het breken van encryptie, zowel mbt de wiskunde en algoritmes (backdoors / zwakke plekken inbouwen) als qua hardware om zaken te bruteforcen. Maar of ze die capaciteit hebben is een strikt geheim natuurlijk.

[Corsa_GSi]

Er bestaat natuurlijk ook de mogelijkheid dat de Russische staat heeft ingegrepen bij het hackerscollectief.
Welke openlijk aan een Russische geheime dienst werd gelinkt.
En volgens mij meen ik ergens gelezen te hebben dat het hackerscollectief ineens ook niet meer zo actief is.
1 = 1 = ?

[JJ Le Funk]

≠1 met zoveel onbekende condities

[chielsen]

Het is giswerk maar als het niet zo is dat iemand voor de decryptor heeft betaald (valt dat onder indirectly?) dan zou het kunnen dat bijvoorbeeld een staatshacker zoals de nsa heeft geholpen. Het zou mooi zijn als de criminelen idd echt niks hebben verdiend.

[Martinez-]

Zou Kayesa de decryptor ontvangen hebben onder voorwaarde deze niet openbaar te delen? Of zou het openbaar delen van deze key mogelijkerwijs andere mogelijkheden bieden voor andere hackers?

[Apolopo]

Wel betaald aan een bemiddelaar die de hackers wel betaald heeft, net als Garmin?

[OxWax]

Nope

Wel betaald aan een bemiddelaar die de hackers wel betaald heeft, net als Garmin?

"As such, we are confirming in no uncertain terms that Kaseya did not pay a ransom – either directly or indirectly through a third party "

[Reactie gewijzigd door OxWax op 23 juli 2024 02:32]

[Lagonas]

Staat in de een na laatste alinea.

"Daarom zeggen we in niet te mistane woorden dat Kaseya het losgeld niet heeft betaald", zegt het bedrijf. Het voegt daaraan toe dat dat zowel niet direct als indirect via bijvoorbeeld een derde partij is gebeurd.

[OxWax]

Het blijft wel onduidelijk hoe Kaseya de decryptor dan heeft gekregen

@TijsZonderH Hoezo onduidelijk en onbekend?

"Kaseya is working with Emsisoft to support our customer engagement efforts, and Emsisoft has confirmed the key is effective at unlocking victims".

[TijsZonderH]

Daar staat niet dat Emsisoft de decryptor aan ze heeft gegeven. Ze doen alleen technische assistentie bij het unlocken van klanten met behulp van de decryptor.

[m_snel]

Maar samenwerking zegt niks over waar de juiste sleutel vandaan komt, alleen maar dat die niet uniek is.

[Qlusivenl]

Toeval?
nieuws: Decryptietools van No More Ransom zijn in vijf jaar zes miljoen keer ...

[TijsZonderH]

Lijkt me sterk tbh, No More Ransom is al heel lang niet meer echt nuttig voor decryptors voor bedrijven. En als de politie/FBI/Interpol REvil had opgerold hadden ze dat echt niet stilgehouden

[arjankoole]

Lijkt me sterk tbh, No More Ransom is al heel lang niet meer echt nuttig voor decryptors voor bedrijven. En als de politie/FBI/Interpol REvil had opgerold hadden ze dat echt niet stilgehouden

de politie zou dat wel degelijk stil houden als dat in het belang van het lopende onderzoek is.

[robvanwijk]

de politie zou dat wel degelijk stil houden als dat in het belang van het lopende onderzoek is.

Jullie hebben allebei gelijk: als de politie zo'n grote slag slaat, dan maken ze dat gegarandeerd bekend... na verloop van tijd, als de bekendmaking verder onderzoek en het arresteren van meer verdachten niet meer in de weg staat. Of ze REvil opgerold hebben is op dit moment niet te zeggen, maar als we er over een paar maanden nog niets over gehoord hebben, dan kun je er denk ik veilig vanuit gaan dat Kaseya de decryptor niet gekregen heeft van de politie.

[Iblies]

Net zoals er een markt is voor encryptors, is er een markt voor decryptors.

In wannacry zat een optie waardoor het kon worden gestopt,

https://techcrunch.com/2019/07/08/the-wannacry-sinkhole

By registering the domain, Hutchins had “sinkholed” the ransomware, allowing him to capture and dispose of malicious internet traffic.

Wanneer men miljoenen vraagt,
dan zijn oplossingen automatisch miljoenen waard.

We can confirm that Kaseya obtained the tool from a third party and have teams actively helping customers affected by the ransomware to restore their environments, with no reports of any problem or issues associated with the decryptor.

[Oon]

Zoals Qlusivenl in 'nieuws: Kaseya zegt niet te hebben betaald voor ransomwaredecry... ook al aanhaalt zijn er gewoon decryptors te krijgen voor sommige ransomware. Maar in veel gevallen is er betaald aan een tussenpartij die dan een paar dagen later een decryptor tevoorschijn weet te halen

[Reactie gewijzigd door Oon op 23 juli 2024 02:32]

[Lagonas]

Waarom zou dat de enige mogelijkheid kunnen zijn? Het is een groot IT bedrijf. Op een gegeven moment lekt zoiets toch wel uit als het zo was. Verder is Kaseya volgens mij bezig om publiek te gaan. Dan zou zo een actie echt geen goeie zet zijn.

[Caelestis]

Of een andere hacker groep die geïrriteerd was met de gevolgen.
Zou ook een verklaring kunnen zijn waarom de Reevil site offline ging.
Mogelijk zijn ze gehackt en compleet schoongeveegd waarna de decryptor via-via openbaar werd gemaakt.