上周五，美國(guó)軟件開(kāi)發(fā)商 Kaseya Ltd. 遭遇了勒索軟件 REvil 的攻擊，攻擊主要集中在 Kaseya VSA 軟件上，這次攻擊影響了多個(gè)托管服務(wù)提供商及其一千多名客戶(hù)。

　　Kaseya 是一家來(lái)自瑞典的 IT 公司，于1999年獲得了美國(guó)專(zhuān)利局認(rèn)證的 Kaseya VSA（虛擬系統(tǒng)管理）專(zhuān)利和連接算法專(zhuān)利。Kaseya VSA 是一個(gè)基于云的 MSP 平臺(tái)，允許提供商為其客戶(hù)執(zhí)行補(bǔ)丁管理和客戶(hù)端監(jiān)控，該平臺(tái)為客戶(hù)提供了一套基于 Web 的新一代自動(dòng)化 IT 系統(tǒng)管理解決方案。MSP 是一種通過(guò)建立自己的網(wǎng)絡(luò)運(yùn)作中心（NOC，Network Operating Center）來(lái)為企業(yè)提供24×7×365的系統(tǒng)管理服務(wù)的業(yè)務(wù)。MSP 可以實(shí)現(xiàn)遠(yuǎn)程的管理、實(shí)時(shí)的監(jiān)控和對(duì)企業(yè)系統(tǒng)運(yùn)作情況的統(tǒng)計(jì)。

　　為了獲得更好的服務(wù)，在對(duì) MSP 進(jìn)行選擇時(shí)，企業(yè)一般會(huì)選擇有強(qiáng)大的市場(chǎng)占有率的產(chǎn)品品牌。Kaseya 就是這樣一個(gè)品牌，至今，Kaseya 在全球已經(jīng)擁有了超過(guò)10000家客戶(hù)，其中包括50%以上的全球100強(qiáng) IT 管理服務(wù)提供商及各大龍頭企業(yè)，分別來(lái)自銀行業(yè)、金融業(yè)、零售業(yè)、貿(mào)易業(yè)、教育機(jī)構(gòu)、政府機(jī)構(gòu)、醫(yī)療機(jī)構(gòu)和交通運(yùn)輸業(yè)等領(lǐng)域。截止2011年底，全球有超過(guò)1300萬(wàn)臺(tái)以上的終端和設(shè)備通過(guò) Kaseya 的軟件進(jìn)行管理。

　　為什么是 Kaseya？

　　正是因?yàn)楹芏啻笮推髽I(yè)和技術(shù)服務(wù)供應(yīng)商都選擇使用 Kaseya VSA，Kaseya 才被選中成為此次供應(yīng)鏈攻擊的對(duì)象。

　　供應(yīng)鏈攻擊是一種面向軟件開(kāi)發(fā)人員和供應(yīng)商的攻擊方式。攻擊者通過(guò)在應(yīng)用中尋找不安全的網(wǎng)絡(luò)協(xié)議、未受保護(hù)的服務(wù)器基礎(chǔ)結(jié)構(gòu)和不安全的編碼做法，來(lái)感染合法應(yīng)用，分發(fā)惡意軟件。

　　一般來(lái)說(shuō)，軟件由受信任的供應(yīng)商構(gòu)建和發(fā)布， 因此這些應(yīng)用和更新版本已被簽名并經(jīng)過(guò)相關(guān)安全認(rèn)證。在軟件供應(yīng)鏈攻擊中， 供應(yīng)商可能未意識(shí)到他們的應(yīng)用或更新在發(fā)布到公眾時(shí)已經(jīng)受到惡意代碼的感染，因此一旦供應(yīng)鏈攻擊成功，惡意代碼將以與應(yīng)用相同的信任和權(quán)限運(yùn)行。

　　MSP 對(duì)于勒索軟件團(tuán)伙來(lái)說(shuō)是一個(gè)高價(jià)值的目標(biāo)，它們提供了一種通過(guò)單一漏洞感染許多公司的簡(jiǎn)單渠道，但發(fā)起攻擊需要黑客對(duì) MSP 及其使用的軟件有深入了解。

　　REvil 就是個(gè)中好手。REvil 擁有一個(gè)精通 MSP 使用的技術(shù)的分支機(jī)構(gòu)，長(zhǎng)期以來(lái)一直針對(duì)這些公司及其常用軟件進(jìn)行研究。與其他勒索軟件一樣，REvil 的勒索軟件會(huì)鎖住受害者的電腦，直到受害者以比特幣的形式支付數(shù)字贖金。

　　Kaseya 是否會(huì)支付贖金？

　　REvil 不僅精心挑選了他們的獵物，為保萬(wàn)無(wú)一失，他們甚至精心挑選了攻擊時(shí)間。通常來(lái)說(shuō)，多數(shù)大規(guī)模勒索軟件攻擊都是在周末的深夜進(jìn)行，因?yàn)榇藭r(shí)監(jiān)控網(wǎng)絡(luò)的人員較少。REvil 卻選擇在周五中午發(fā)起攻擊，在即將到來(lái)的周末之前，員工的工作時(shí)間可能縮短且效率不高。

　　REvil 精心策劃的攻擊實(shí)施得相當(dāng)順利。周五，Kaseya 收到了客戶(hù)的報(bào)告，報(bào)告顯示 Kaseya VSA 本地產(chǎn)品管理的端點(diǎn)出現(xiàn)了異常行為，不久后，Kaseya 進(jìn)一步發(fā)現(xiàn)勒索軟件正在端點(diǎn)上執(zhí)行?；谟脩?hù)的報(bào)告， Kaseya 的執(zhí)行團(tuán)隊(duì)迅速召開(kāi)了會(huì)議并決定采取兩個(gè)步驟來(lái)阻止惡意軟件的傳播：向本地客戶(hù)發(fā)送通知，要求用戶(hù)關(guān)閉他們的 VSA 服務(wù)器以及關(guān)閉 Kaseya 的 VSA SaaS 基礎(chǔ)設(shè)施。

　　通過(guò)調(diào)查，Kaseya 的安全團(tuán)隊(duì)發(fā)現(xiàn)勒索軟件使用了 Kaseya VSA 中的一個(gè)漏洞，并宣布將盡快發(fā)布補(bǔ)丁。據(jù)稱(chēng)，此次網(wǎng)絡(luò)攻擊是 REvil 有史以來(lái)發(fā)起的規(guī)模最大的一次攻擊，已有八個(gè)已知的大型 MSP 受到攻擊，并且可能已導(dǎo)致全球多達(dá) 4 萬(wàn)臺(tái)電腦被感染。

　　根據(jù)暗網(wǎng)博客上發(fā)布的信息，REvil 勒索軟件團(tuán)伙聲稱(chēng)已經(jīng)鎖定了超過(guò) 100 萬(wàn)個(gè)系統(tǒng)。

　　翻譯內(nèi)容如下：上周五（02.07.2021）我們對(duì) MSP 供應(yīng)商發(fā)起了一次攻擊。超過(guò) 100 萬(wàn)的系統(tǒng)被感染。如果有人想就通用解密器進(jìn)行談判--我們的價(jià)格是 70000000 美元（BTC），我們將公開(kāi)發(fā)布解密器，解密所有受害者的文件，所以每個(gè)人都將能夠在不到一個(gè)小時(shí)內(nèi)從攻擊中恢復(fù)。如果你對(duì)這樣的交易感興趣，請(qǐng)按照受害者的 “readme”文件說(shuō)明與我們聯(lián)系。

　　至今，Kaseya 并未表明是否會(huì)考慮支付贖金。官方發(fā)布的信息表示，越來(lái)越多的 MSP、經(jīng)銷(xiāo)商及其客戶(hù)受到了此次攻擊事件的影響，Kaseya 聲明將繼續(xù)展開(kāi)調(diào)查、公布信息，盡力降低客戶(hù)的損失。

　　慣犯 REvil ，作案太頻繁

　　7000萬(wàn)美元聽(tīng)上去是一個(gè)天文數(shù)字，但是這不是 REvil 第一次獅子大開(kāi)口了。2020 年 5 月，REvil 聲稱(chēng)破譯了唐納德·特朗普公司用于保護(hù)其數(shù)據(jù)的橢圓曲線(xiàn)密碼術(shù)，并為他們盜竊的數(shù)據(jù)索要4200萬(wàn)美元的贖金。

　　最開(kāi)始，REvil 因從服務(wù)于全球影視娛樂(lè)巨星的律師事務(wù)所—— Grubman Shire Meiselas & Sacks 竊取了近 1 TB的信息并勒索贖金而聞名，從此以后 REvil 就與LadyGaga、埃爾頓·約翰、羅伯特·德尼羅和麥當(dāng)娜等知名巨星的名字緊緊聯(lián)系在一起。

　　打出名號(hào)之后，作為黑客界的“明星”，REvil 的犯案頻率簡(jiǎn)直可以評(píng)為勞模，僅2021年就憑借其每月至少一起的作案頻率頻頻占據(jù)頭版頭條。

　　3 月 18 日，REvil 附屬公司在網(wǎng)絡(luò)上聲稱(chēng)，他們已從跨國(guó)硬件和電子公司宏碁安裝勒索軟件并盜取大量數(shù)據(jù)，并為此索取5000萬(wàn)美元的贖金。

　　3 月 27 日，REvil 攻擊哈里斯聯(lián)盟，并在其博客上發(fā)布了聯(lián)盟的多份財(cái)務(wù)文件。

　　4 月，REvil 竊取了廣達(dá)電腦即將推出的蘋(píng)果產(chǎn)品的計(jì)劃，并威脅要公開(kāi)發(fā)布這些計(jì)劃，除非他們收到 5000 萬(wàn)美元作為贖金。

　　5 月 30 日，全球最大肉類(lèi)供應(yīng)商 JBS 受到 REvil 勒索軟件的攻擊，該公司不得不將所有美國(guó)牛肉工廠(chǎng)暫時(shí)關(guān)閉，并中斷了家禽和豬肉工廠(chǎng)的運(yùn)營(yíng)。最終，JBS 還是向 REvil支付了 1100 萬(wàn)美元的比特幣贖金。

　　6 月 11 日，全球再生能源巨擘 Invenergy 證實(shí)其作業(yè)系統(tǒng)遭到了勒索軟件的攻擊，REvil聲稱(chēng)對(duì)此事負(fù)責(zé)。

　　7月僅僅過(guò)去兩天，REvil 就按捺不住對(duì) Kaseya 出手了。

　　為何受害企業(yè)卻只能打碎牙往肚里咽？

　　除了組織本身以外，REvil 還招募了很多附屬機(jī)構(gòu)為他們分發(fā)勒索軟件，這些附屬機(jī)構(gòu)和勒索軟件開(kāi)發(fā)商都將從支付贖金產(chǎn)生的收入中獲利，也代表著最終贖金會(huì)有多個(gè)去向，因此 REvil 團(tuán)伙確切位置難以確定。

　　對(duì)于該組織，各國(guó)政府也深?lèi)和唇^，多次下令進(jìn)行嚴(yán)厲打擊。不幸的是，之前的事件基本是以 REvil 勒索成功告終，這次的 Kaseya 事件又會(huì)怎樣結(jié)束呢？