Decryptor voor ransomware bij Kaseya-klanten verschijnt op internet

De decryptor voor de Kaseya-ransomware is uitgelekt op een hackingforum. De sleutel werkt niet voor alle REvil-slachtoffers, maar het is een algemene decryptor voor de slachtoffers van de aanval op Kaseya.

De sleutel werd voor het eerst ontdekt door een beveiligingsonderzoeker die een screenshot plaatste van een hackersforum. Daarin stelt een nieuwe gebruiker een sleutel te hebben voor de REvil-ransomware. Inmiddels heeft Bleeping Computer de sleutel getest op samples van de REvil-ransomware die vorige maand werd verspreid via Kaseya. De site bevestigt dat de sleutel daarvoor werkt. In juli werd managed service provider Kaseya aangevallen door een ransomwarebende. Die misbruikte de software om ransomware te sturen naar klanten van het bedrijf.

De aangetroffen sleutel werkt alleen voor slachtoffers van specifiek die aanval, en niet voor alle REvil-slachtoffers. REvil is een van de beruchtste ransomwarebendes die naast Kaseya duizenden anderen slachtoffers hebben gemaakt. REvil verdween vorige maand nadat de websites van de bende offline gingen. Het is niet bekend wat er met de criminelen is gebeurd.

Het is evenmin onbekend hoe de REvil-sleutel op het internet is verschenen. Er was wel een decryptor beschikbaar, die Kaseya had gekregen van 'een onbekende partij'. Kaseya werkte samen met beveiligingsbedrijf Emsisoft om de ransomwareslachtoffers gratis te helpen. Die moesten daarvoor wel een non disclosure agreement tekenen.

Reacties (63)

En dit is een groot probleem, als bestanden nu uitlekken die gedownload zijn kan iedereen ze unlocken.

“Kaseya werkte samen met beveiligingsbedrijf Emsisoft om de ransomwareslachtoffers gratis te helpen. Die moesten daarvoor wel een non disclosure agreement tekenen”

Lekker bedrijf is dat je klanten afpersen zo min mogelijk info naar buiten te brengen!

Lekker bedrijf is dat je klanten afpersen zo min mogelijk info naar buiten te brengen!

Een non disclosure agreement is in dit soort gevallen vrij normaal. Hier kan bijvoorbeeld in staan dat Emsisoft of de klant niet naar buiten mag brengen wie de slachtoffers zijn(ivm imagoschade), wat de key is of hoe het proces werkt, dat alle communicatie via Kaseya loopt etc. Dit hoeft echt niets bijzonders te zijn en van afpersen is echt geen sprake.

[Reactie gewijzigd door Bor op 12 augustus 2021 09:12]

Dat kaseya een NDA tekent is niks mis mee maar dat ze dat ook van hun klanten eisen in ruil voor hulp is BS!

Het is mogelijk niet Kaseya die daar zeggenschap over heeft. Het is mogelijk dat het een eis is van Emsisoft. Het is makkelijk roepen, maar je kent de details niet.

Er is in het nieuws geweest dat hey bedrijf niet alles voor haar klanten veilig had gemaakt, maar wel dat ze voor het mis ging al bezig waren om schade te beperken en voorkomen. Dan is de bewering die je zonder onderbouwing doet onbehoorlijk bij de werkelijkheid.
Je zou hooguit kunnen zeggen dat ze niet perse het belang van de klanten voorop hebben staan. Maar dat zegt nog niets over hoe absoluut men wel of onvoldoende met dat belang rekening aan het houden is.

Kaseya leverde idd de tooling waardoor men geraakt kon worden.
Maar als bedrijf die de tooling van Kaseya gebruikt ben je alsnog zelf verantwoordelijk voor het maken van je back-ups. Dat mag je nooit en te nimmer bij een 3e partij leggen, het is altijd je eigen verantwoording.

Tenzij je daarvoor een SLA hebt en veel geld betaald!
dan ligt de verantwoording bij de party die je ingehuurd hebt.
En niet bij jezelf.
zelfde met clouddiensten zoals bijvoorbeeld O365

Kijk de kleine lettertjes van Office 365 dan maar eens goed na over waar wel en geen SLA voor geldt

De kleine lettertjes die ken ik en het is maar net op wat voor niveau je wilt draaien in de cloud.
je kan alles volledig door microsoft laten afhandelen. (kost een beetje, maar dan heb je wel wat)
daarbij ook backups en restore mogelijkheden.
je kan zelfs je VM machines in je azure cloud draaien en naar een willekeurig moment restoren live tijdens het draaien van je systeem.
Daarnaast maakt microsoft gebruik van extreem veel datacenters en repliceert tussen die datacenters hun data.
daarbij is er in die SaaS omgeving vaak niet 1 of 2 backups maar vaak zelfs 4 of 5.
Als je inderdaad alleen hun platform neemt een geen aanvullende diensten dan ben je inderdaad zelf verantwoordelijk voor een backup situatie en je data.

Dit valt waarschijnlijk eerder in de categorie "zo min mogelijk naar buiten, geeft de hackers zo min mogelijk om zich tegen te wapenen"


Edit: typo

[Reactie gewijzigd door 0xfe op 12 augustus 2021 07:59]

Hoe is het vrij geven van een sleutel, hackers helpen?

Dan kunnen de hackers een patch uitbrengen tegen het gebruik van deze key…

Dat dus ja

en laten weten welke klanten slechtoffer zijn geworden en mogelijks onveilig zijn en dus een andere hackers aantrekken?

Nee, hoe patchen ze dan? Die hebben allang geen directe toegang meer tot de data en de slachtoffer omgevingen, dus er valt niets te patchen.

Nee, hoe patchen ze dan? Die hebben allang geen directe toegang meer tot de data en de slachtoffer omgevingen, dus er valt niets te patchen.

Hangt er van af hoe de malware werkt, genoeg voorbeelden waar een systeem geïnfecteerd wordt en vervolgens malware binnen haalt via een c&c server. Op zo een manier kan een update ook uitgerold worden en bijv een 2e encryptie worden toegepast.

We hebben het hier over Kasaya malware niet over “een of andere malware”. Het is allang bekend hoe deze werkt, getroffen systemen zijn al weken veilig gesteld en de originele CC servers allang offline

Dan nog zullen ze de malware patchen voor nieuwe of lopende aanvallen… het gaat er om waarom de key liever niet gelekt wordt.

Daarbij denken we dat we deze onder controle hebben… dat is nooit met 100% zekerheid te zeggen natuurlijk.

Hoezo afpersen ze doen het toch gratis?
En daarbij snap ik wel dat ze niet willen dat hun hele hebben en houden op straat komt te liggen.

Het is duidelijk in het nieuws geweest dat het bedrijf onveilige software liet gebruiken, waardoor betalende klanten zwaar in de problemen kwamen. Dan is de hulp en eisen die ze stellen om de klant uit de problemen te halen niet gratis of optioneel te noemen. Zeker niet als ze afhankelijk zijn van het tekenen van een verplichting die hey softwarebedrijf goed uit komt of er anders bijvoorbeeld geen decryptie is.

Zou jij het normaal vinden als een bakker jou giftig brood verkocht waardoor je ziek werd en de bakker als enige je het levensreddende medicijn kan leveren als je maar je mond zal houden over wat er allemaal door de bakker is nagelaten en mis deed?

Maar is dat daadwerkelijk wat er in die NDA staat of verzinnen we dat er nu bij?
Stond er daadwerkelijk in de NDA dat je niets slechts over Kaseya, deze hack en de decryptor mocht zeggen?
Of stond er dat de decryptor geheim gehouden moet worden, wat best redelijk is...?

Daarom schreef ik ook eeder dat het uiteraard af hangt van de voorwaarden.

Het klinkt in dit geval alleen niet aannemelijk dat die voorwaarden beperkt zijn tot wat voor de slachtoffers redelijk is. Van een ander beperkingen opgedrongen krijgen is eenzijdig en toont niet zomaar redelijkheid voor slachtoffers voor wie dit de enige keuze leek. Dan had verwacht mogen worden dat men duidelijk kon maken waar die redelijkheid in zat, wat niet is gedaan. Onder normale omstandigheden begrijpelijk, niet in een situatie waar de veroorzaker en redder kennelijk dezelfde partij zijn met een enorm belang niet te veel verantwoordelijkheid duidelijk te laten worden.

Kaseya had zijn shit niet op orde, klanten zijn de dupe en nu bieden ze hulp aan onder voorwaarden van een NDA. Aka of je houd je bek en krijgt hulp om uit de shit te komen die je niet zelf hebt veroorzaakt of ze lagen je in de stront zitten.

Om ervoor te zorgen dat die keys niet uitlekken en dat de ransomware gepatched gaat worden? Dit is geen afpersen, dit is het beschermen van belangrijke informatie tegen de 'hackers'.

Dan ben je als bedrijf dubbel slachtoffer van ransomware. Betalen of een NDA ondertekenen.

Waarom ben je slachtoffer na het tekenen van een NDA? Ik teken zo'n dingen op maandelijkse basis als ik een groot project begin voor een klant en die zijn plannen graag nog even voor zichzelf houdt, een NDA staat niet gelijk aan evil..

Even denken.
Je hebt als bedrijf last van ransomware door je leverancier kaseya.
Je leverancier heeft de sleutel om al je files weer beschikbaar te maken. Maar je moet een NDA ondertekenen.
Of je betaald de ransomware partij, als dit nog mogelijk is. Aangezien ze offline zijn.

Kortom je hebt als bedrijf geen keuze, je moet wel.
Komt een over als een wapen op je kop te hebben en je mag kiezen.

Jij die maandelijks een NDA ondertekend doet dit uit vrije wil. Jij kan nee zeggen, zonder gevolgen.

Niet helemaal met jullie eens. Zo lang een beveiligingsbedrijf hulp kan bieden aan een gehackte partij is dat mooi. Als dat is omdat ze op een of andere manier de sleutel bemachtigd hebben, dan is het natuurlijk dom om je modus operandi als bedrijf kenbaar te maken. Het eerste wat de hacker dan doet is de sleutel veranderen. Daarom is een NDA belangrijk.

En wat als het beveiligingsbedrijf de oorzaak is van de ellende?

Is het dan nog steeds netjes om een NDA af te dwingen?

En wat als het beveiligingsbedrijf de oorzaak is van de ellende?

Is het dan nog steeds netjes om een NDA af te dwingen?

Waar lees jij dat het beveiligingsbedrijf de oorzaak is?

Een NDA kan niet worden gebruikt om misdaden te verzwijgen.
Als het beveiligingsbedrijf na het laten onderteken van de NDA zou zeggen. Ha wij waren het, maar je mag het niet doorvertellen want NDA. Dan mag je het alsnog doorvertellen. (Aan de autoriteiten, niet aan een krant oid.)

[Reactie gewijzigd door solideagle200 op 12 augustus 2021 09:46]

het is een NDA geen gagging order.. groot verschil..

Het is een NDA, in het algemeen heel gebruikelijk.
Zolang jij niet weet wat er in de NDA staat is het ook niet mogelijk om te zeggen dat je gedwongen wordt.

Veelal is het gewoon een document waarin bepaalde afspraken in staan die niemand anders wat aangaan.

Je beschrijft hier nog steeds niet wat er zo slecht is aan een NDA ondertekenen. Je zegt enkel nog maal dat je maar 2 keuzes hebt.

Met een NDA is niets mis onder normale omstandigheden. Maar een NDA eisen, nadat het beveiligingsbedrijf schade heeft veroorzaakt is naar mijn mening verkeerd en niet beter dan de partij die het beveiligingsbedrijf bedrijf gehackt.

Het beveiligingsbedrijf heeft geen schade veroorzaakt, zelfs Kaseya (geen beveiligingsbedrijf) zelf heeft geen schade veroorzaakt. Dat hebben de hackers gedaan.

Kaseya zegt in dit geval, wij hebben een oplossing, je mag zolang de NDA geld daar niets over naar buiten brengen. Dat is gewoon heel goed van Kaseya, want als bedrijf #1 dat niet doet dan kan bedrijf #999 daar last van hebben omdat ze nog niet klaar zijn met de decryptie en dit meer issues veroorzaakt voor klant #999. Met deze NDA beschermt Kaseya al hun klanten.

In theorie zou een hacker nu al geen toegang meer moeten hebben tot de betreffende encrypted systemen met 0,0 internettoegang, dus zou een patch van de hacker geen invloed hebben op die systemen. Echter heeft Kaseya geen invloed op de kwaliteit van de beheerders bij hun klanten, er is dus geen garantie dat al hun klanten dat netjes hebben gedaan. Je werkt met mensen vaak op basis van de slechtste aanname. Als bedrijven hun zaakjes immers op orde hadden gehad hadden ze hun backups al lang teruggezet en was de encryptie poging al veel eerder gedetecteerd...

zelfs Kaseya (geen beveiligingsbedrijf) zelf heeft geen schade veroorzaakt

Die uitspraak valt te betwisten. We kennen de details niet, maar het lijkt mij dat ze als service provider hun zaken beter op orde moeten hebben.

Die NDA voelt bij mij ook een beetje als "Je mag tegen niemand zeggen hoe slecht wij onze zaken op orde hebben ...".

Ook al zou het rammelen aan alle kanten, ze hebben de schade niet veroorzaakt.

Daarnaast is het niet de vraag of iets gehackt wordt, maar wanneer. Zelfs de grootste software leveranciers in de wereld hebben issues met beveiligingsgaten. Apple, Microsoft, Linux, Google, etc. Had het beter gekund bij Kaseya, zeer waarschijnlijk wel, had het perfect kunnen wezen, nee.

Dan zijn ze een beetje laat met die NDA, aangezien die informatie allang naar buiten is gekomen. Daarnaast maakt iedereen van een mug een olifant, want we weten de scope van de NDA niet. En effectief staat er in elk contract dat je afsluit met je werkgever/opdrachtgever ook gewoon een NDA in. B2B contracten hebben vaak ook dergelijke clausules... Het voelt hier een beetje aan alsof een hoop tweakers die hier over vallen nog nooit een dergelijk contract in handen hebben gehad en als ze dat wel hebben gehad, deze niet goed (begrijpend) hebben doorgelezen...

Is er een legale verantwoordelijkheid van een Software Leverancier dat diens software 'veilig' moet zijn of 'bugvrij' of bestand tegen exploitatie door criminele onbekenden ? Indien ja ... dan ga ik snel slotenmaker AXA ook maar eens dagvaarden ...

Dat je als klant van Kaseya 'hulp' uberhaupt nodig hebt, zegt maar over het feit dat je als klant je ICT zaken niet op orde hebt dan het een probleem van Kaseya is.

Backups, Backups ... Backups ... (en restore testen ...)

Dat denk ik toch wel.
Als je aan een project wilt beginnen, maar daarvoor geen NDA wilt ondertekenen, gaat het hele project naar een ander.

Wellicht is de decryptor gekocht in strijd met de bedrijfspolicy en is er ook niet goed gekeken of de betaling door de WWFT beugel kan (bij een betalen aan ongeïdentificeerde partijen kan het geld zomaar bij terroristen uitkomen)? Staat er in de NDA "gebruiken mag op eigen risico, verder krijg je geen info en je mag ook niet de decryptor verder delen / ontleden omdat daaruit kan blijken wie we hebben betaald"

Ik snap niet waarom de reactie van @cold gedownvote wordt.

Het is naar mijn mening wel een beetje typisch te noemen dat je een NDA moet tekenen voor Kaseya je helpt met het ontsleutelen van je bestanden.
Ik ben wel benieuwd wat daar dan in staat.

Dat vraag ik mij ook af. Zeker als ik de kwade pet op zet, dan kan zo'n aanval mooi extra worden uitgebuit, om zo klanten te houden. In het geval dat dat een significante bijdragen geeft aan het verdienmodel, dan zijn dergelijke bedrijven minder gemotiveerd om veiligheid te waarborgen. Een logica kan dan zijn "Laten wij de veiligheid minder voorop stellen, om als medeslachtoffer er uit te komen, om 'vanuit goede wil' de klanten 'te helpen', maar wij laten ze er wél voor betalen".

Het is een NDA, dus daar zul je als het goed is niet achterkomen.
Verder is het geen pact met de duivel die sluit maar een NDA.

Er staat niet bij vermeld wat er in die nondisclosure argeement staat... Het kan ook zijn dat je niet mag vertellen welke kleur de toiletten hebben.

Dat hangt er vanaf waar die non disclosure over gaat.

Wel is het natuurlijk niet zomaar redelijk dat het maar normaal moet worden gevonden dat een dienstverlener eerst lijkt te zorgen voor onveilige situaties vervolgens hulp gaat bieden met een eis dat je daat dan ook niet openlijk ovet kan klagen. Dan heeft het er meer van weg dat men meer zichzelf aan het helpen is dan de klanten die slachtoffer zijn.

Je klanten onder druk zetten om een geheimhoudingsclausule te teken. Deze clausule zat niet in de oorzpronkelijke overeenkomt. De klant heeft geen keus zonder verlies van gegevens.

Geheel met je eens: als dit geen afpersing is, dan bestaat er geen afpersing.
( wie voor jouw commentaar een -1 geeft moet nodig voor herscholing en afneming van moderatie recht)

Niet helemaal met jullie eens. Zo lang een beveiligingsbedrijf hulp kan bieden aan een gehackte partij is dat mooi. Als dat is omdat ze op een of andere manier de sleutel bemachtigd hebben, dan is het natuurlijk dom om je modus operandi als bedrijf kenbaar te maken. Het eerste wat de hacker dan doet is de sleutel veranderen. Daarom is een NDA belangrijk.

Grotendeels met je eens, maar een beetje hacker wijzigt de sleutel toch al na elke succesvolle hackpoging.
De Kaseya inbraak werd door de VS direct aan een Russische Staatshacker verbonden (iets wat betwijfelbaar is), waardoor deze in de categorie "Professioneel" valt. Bij de volgende poging wordt ongetwijfeld een andere sleutel gebruikt, ergo geheimhouding is overbodig.

De klant heeft geen keus zonder verlies van gegevens.

De klant zou ook een backup moeten hebben en software die dergelijke ransomware zou moeten detecteren.

Helemaal mee eens: Kaseya, als professioneel bedrijf voor beheersoftware, was in gebreke en voor een groot deel verantwoordelijk voor de opgelopen schade. Daarnaast waren de klanten van Kaseya naïef en hadden hun eigen beveiliging en back-up moeten regelen.

Wat ik niet snap is waarom de sleutel niet sowieso publiek gemaakt is ?
Waarom zou je die geheim houden ?

Nu moet hij uitlekken.... op een hackersforum, nota bene !

Het komt op mijn over als: De leverancier van besmette code heeft moeten betalen voor de sleutel en als getroffen klant mag je alsnog op je blote knieën smeken en naar de pijpen van die leverancier blijven dansen om de sleutel te krijgen, of alsnog zelf betalen.

Ik zou daar niet lang klant blijven.

Als geinfecteerde systemen nog online staan, dan kunnen in theorie de hackers de keys onbruikbaar maken / de schijven laten her-encrypten met een andere key.

Of er is betaald voor de key (gezien de NDA's geen gek scenario) en 1 van de voorwaarden van de hackers was dat de key niet uitlekt.

Dit is wel erg overdreven, er hoeft niemand op blote knieën iets te smeken. Er is gewone normale communicatie de deur uitgegaan.
De NDA is iets tussen de 3 partijen, Kaseya, Emsisoft en de klant. Er zal onderandere iets instaan dat de klant geen kosten verschuldigd zal zijn aan K & E, verantwoordelijkheden en ook dat er geen details bekend gemaakt worden wat er encrypted is geweest en wat er weer gedecrypt is.

[Reactie gewijzigd door Tweakert2020 op 12 augustus 2021 10:39]

De omstandigheid is dat het bedrijf dat eist dat bepaalde gegevens niet publiek worden ook het bedrijf is waardoor de slachtoffers zijn ontstaan en het bedrijf is dat ze kennelijk als enige kan redden. Dat klinkt niet als een redelijk uitgangspunt dat de nda alleen bedoeld is voor zaken die niets met het slachtofferschap of verantwoordelijkheid van de eiser te maken hebben. Aangezien ook niemand het er ovet heeft hoe dit het slachtofferschap wel treft is het dus eerder aannemelijk dat deze nda niet zomaar redelijk te noemen is. Dat de key nu ook nog lekt maakt de combinatie nog opvallender.

Dat is een conclusie die jij eraan verbindt,
Het is imho belangrijk dat de leverancier alle mogelijke inspanningen doet om de klanten te helpen. Wellicht dat de veiligheidsdiensten van diverse landen er ook bij betrokken zijn en een eis hebben dat bepaalde zaken niet geopenbaard worden.

Nogmaals wij kennen de inhoud van de NDA niet en kunnen dus niet oordelen over een hypothetische inhoud.

Dat er nog veel meer omstandigheden kunnen zijn ben ik met je eens. Mijn mening gaat er dan ook over waar de redelijkheid in zit en die niet zomaar bij de leverancier of hun afhankelijkheden ligt omdat het die goed uit komt ten opzichte van de slachtoffers die daaruit voort kwamen. Het eisen dat slachtoffers niets bekend maken is niet zomaar redelijk door het vooral vanuit de kant van anderen te laten bepalen. Zeker niet als die mede veroorzaker zijn.

Als achtergrond informatie. REvil is niet de enige ransomware groep die is verdwenen recentelijk. De groep Darkside die achter de kolonial pipeline aanval zat is ook verdwenen. Er is inmiddels ook weer een nieuwe groep opgedoken die Blackmatter heet en wat software gebruikt waarvan de broncode verdacht veel lijkt op de groep van de Kolonial pipeline aanvallen .
Dit hele gebeuren komt als gevolg van het gesprek tussen de Amerikaanse president Biden en de Russische president Poetin. Het stuurde schokgolven door de voornamelijk Russische ransomware groepen. Doelwitten zoals overheidsinstellingen, ziekenhuizen en bepaalde grote takken van de infrastructuur worden nu aangemerkt als verboden doelwitten door deze groepen (niet allemaal). De vraag is natuurlijk hoe zeer criminelen onder het vizier van de Russische overheden zich hier aan houden.

Het verdwijnen van REvil is onderdeel van dit hele politieke spel. Het naar voren komen van de decryptor waarschijnlijk ook. Verwacht REvil ok weer terug maar dan rebranded.

[Reactie gewijzigd door Auredium op 12 augustus 2021 08:54]

De vraag is natuurlijk hoe zeer criminelen onder het vizier van de Russchische overheden zich hier aan houden.

Is het niet zo dat de meeste van dit soort activiteiten uit Rusland en China komen? Beide staan aardig hoog in de ladder qua landen waar je niet moet gaan rotzooien met de overheid. Als de regering je maant te stoppen of de contingencies ondergaan dan ga ik er vanuit dat de meeste hackers eieren voor hun geld kiezen en hiernaar luisteren.

Of ze opereren in opdracht van de regering maar zonder bewijs is dat natuurlijk geen zekerheid. Kan wel een goeie verklaring zijn waarom ze zo snel stoppen.

Overheid Rusland is idd off-limits. Rest van de wereld is alles wild aangezien Rusland geen onderdanen uitlevert.
Ik denk dat u consequenties(gevolgen) bedoelt?

Je toont niet aan waaruit verband blijkt. Situaties hebben niet zomaar met iets wat je wel noemt te maken omdat je het kiest om te noemen, maar op basis van diverse relevante omstandigheden. Je noemt zeker mogelijkheden op, maar je laat er ook zeer veel weg. Dat samen met gebrek aan duidelijk verband tonen is dus vooral selectief speculeren.

Er zijn duizenden criminelen die zich bezich houden en hielden met ransomware, de gevolgen en mogelijkheden. Die criminelen zijn niet allemaal hetzelfde, die hebben onderling niet allemaal maar dezelfde denkwijze of motieven, zelfs niet als ze een groepje met een naam vormen. Dat de sleutel publiek werd, of een naam lijkt te verdwijnen, of iets nieuws ontstaat gebeurde al veel vaker. Net doen alsof dat in dit geval vooral door retoriek en politiek komt is niet redelijk zonder duidelijk verband.