Même pour une entreprise de taille moyenne, le suivi de vos dépendances au sein de la chaîne d'approvisionnement logicielle peut s'avérer une tâche intimidante. Pourtant, il est de plus en plus important d'améliorer la visibilité pour assurer une gestion efficace des risques. Une nouvelle cyberattaque visant la chaîne d'approvisionnement, survenue la semaine dernière, nous a rappelé pourquoi : elle a infecté peut-être jusqu'à 1 500 organisations avec un rançongiciel. Heureusement pour les clients de Tanium, ceux-ci disposent des outils nécessaires pour réagir rapidement et neutraliser la menace.
Regardez cette vidéo pour découvrir comment la solution « Tanium Threat Response » d' permet de gérer la vulnérabilité de Kaseya en moins de trois minutes :
https://youtu.be/tYYg6M9upMg
Que s'est-il passé chez Kaseya ?
L'attaque a eu lieu vendredi 2 juillet, juste avant le week-end férié. Il s'agissait probablement d'une manœuvre délibérée visant à prendre les équipes de sécurité informatique au dépourvu. Cette attaque visait Kaseya VSA, une plateforme de gestion des correctifs et des vulnérabilités utilisée par environ 40 000 fournisseurs de services gérés (MSP).
Les auteurs de l'attaque ont exploité une vulnérabilité « zero-day » (CVE-2021–3011) dans la plateforme , qui aurait permis de contourner l'authentification dans l'interface Web de VSA. Grâce à une session authentifiée, les auteurs de la menace ont pu télécharger une charge utile du ransomware REvil et exécuter des commandes par le biais d'une injection SQL.
Selon certaines informations, le rançongiciel aurait été déployé automatiquement via une fausse mise à jour logicielle intitulée « Kaseya VSA Agent Hot-fix » sur l'ensemble des systèmes gérés. Cette attaque n'a touché que les clients VSA disposant d'une installation sur site, avec « moins de 60” clients MSP concernés, », selon Kaseya. Cependant, chacun de ces MSP compte de nombreux clients en aval, ce qui accroît considérablement l'impact global.
Au lendemain de l'attaque, Kaseya a conseillé à ses clients MSP de mettre leurs serveurs VSA hors ligne et d'attendre la publication d'un correctif, dont la mise à disposition est désormais prévue sur 11 juillet. Les clients en aval victimes d'un rançongiciel ont été invités à ne cliquer sur aucun message provenant de leurs ravisseurs, car ceux-ci pourraient également contenir des liens malveillants, a-t-on indiqué.
Comment Tanium peut vous aider
Dans ce genre de situation, chaque seconde compte. Les organisations doivent vérifier rapidement si elles sont susceptibles d'être exposées à cette menace et remédier au problème dans les meilleurs délais afin de minimiser les risques liés à la cybersécurité.
Heureusement, Tanium permet à ses clients de vérifier rapidement la présence du logiciel Kaseya VSA sur un grand nombre de terminaux. Cela permet également à ces organisations de modifier leurs guides techniques et de les mettre en œuvre rapidement et à grande échelle à mesure que de nouvelles informations sur les fournisseurs sont disponibles. C'est essentiel dans des situations qui évoluent rapidement comme celle-ci.
En résumé, Tanium aidera votre organisation à :
Recherchez le problème
Tanium Interact permet aux clients de poser des questions à leurs terminaux et d'obtenir des réponses en temps réel, afin de vérifier s'ils exécutent Kaseya VSA.
Tanium Index est un composant de Tanium Asset, Tanium Integrity Monitor et Tanium Threat Response. Il permet de détecter les installations malveillantes, telles que le ransomware REvil/Sodinokibi. Grâce à l'indexation préalable des systèmes et à la mise à jour régulière d'une base de données de fichiers, Tanium vous permet de rechercher rapidement n'importe quel fichier par nom, partie de nom ou hachage, etc., où qu'il se trouve sur vos terminaux.
L' -Tanium Asset permet de créer un rapport à partir des requêtes ci-dessus, en excluant, si nécessaire, les hôtes récemment mis hors service.
Tanium Trends permet de suivre visuellement le problème grâce aux questions d'Interact.
Résolvez le problème
Tanium peut être utilisé pour envoyer une commande d'arrêt aux serveurs VSA, ou pour les maintenir en ligne tout en les sécurisant via Tanium Quarantine.
La solution « Tanium Threat Response » permet la recherche et la détection des menaces en temps réel à l'aide d'indicateurs de compromission (IoC) et de renseignements sur les menaces. Si des menaces sont détectées, des mesures supplémentaires peuvent être prises via Tanium Quarantine ou Tanium Enforce.
Les menaces pesant sur la chaîne d'approvisionnement existent depuis de nombreuses années. Mais comme le montre ce dernier incident, les cybercriminels font preuve de plus en plus d'audace et d'ingéniosité dans le choix de leurs cibles. Dans ce contexte, la meilleure approche en matière de gestion proactive des risques consiste à disposer d’outils permettant d’assurer une visibilité permanente sur les terminaux et d’exercer le contrôle nécessaire pour réagir rapidement lorsque cela s’avère indispensable.
Vous souhaitez connaître l'état de votre réseau ? Inscrivez-vous dès aujourd'hui à notre évaluation gratuite des risques « » .
