Se descubrió y divulgó una vulnerabilidad a fines de 2017 que afectó la integración ConnectWise ManagedITSync, diseñada para sincronizar datos entre el ConnectWise Manage PSA y el Kaseya VSA RMM. Esta vulnerabilidad permite que un atacante remoto ejecute comandos SQL arbitrarios contra la base de datos de Kaseya VSA, lo que significa que puede crear usuarios administrativos, cambiar contraseñas de usuarios o incluso crear tareas para implementar software en todos los endpoints bajo administración.
ConnectWise creó un parche y notificó a sus usuarios para que actualizaran, y finalmente retiró la integración de su marketplace, pero por alguna razón, un subconjunto de usuarios siguió usando la integración vulnerable. Esta semana, un atacante desconocido aprovechó la integración vulnerable para atacar a los Managed Service Providers y sus clientes, haciendo que todos los endpoints administrados descargaran y ejecutaran una variante de ransomware conocida como GandCrab. Este tipo de ataque es particularmente devastador porque la herramienta Kaseya RMM tiene acceso administrativo remoto (SYSTEM) a todos los endpoints administrados, lo que lleva a un compromiso rápido y total de todos los activos del cliente.
Daremos seguimiento en las próximas semanas con un desglose completo y un análisis de las TTPs de los atacantes, pero queríamos dar algunos detalles y contexto adicionales a una conversación iniciada en Reddit que, comprensiblemente, tiene a la comunidad de MSP preocupada por su propia vulnerabilidad y su capacidad para manejar y recuperarse de un ataque de esta magnitud.
¿Quién es vulnerable?
Cualquiera que tenga un servidor Kaseya VSA on-premises y que también haya instalado la integración ConnectWise ManagedITSync.
NO eres vulnerable si no usas Kaseya VSA o si usas la opción alojada en la cloud. Tampoco eres vulnerable si no has instalado la integración ManagedITSync.
¿Cómo puedo verificar si soy vulnerable?
Puedes verificar si el programa ConnectWise MSP Kaseya Web Service está instalado en Agregar o quitar programas. También puedes verificar si el archivo ManagedIT.asmx está instalado en tu servidor VSA. Por último, puedes intentar acceder a la página vulnerable navegando a https://mykaseyaserver.com/kaseyacwwebservice/managedit.asmx (replace mykaseyaserver.com con el nombre de dominio de tu servidor VSA).
Si no encuentras ninguno de estos, probablemente no seas vulnerable.
No encontré nada, pero aun así me preocupa ser vulnerable. ¿Qué más puedo hacer?
Si realmente te preocupa, puedes probar la herramienta publicada previamente por Kaseya, que verifica la vulnerabilidad. Simplemente ejecuta la herramienta y proporciona la URL de tu servidor VSA. La probamos y comprobamos que funciona bien.
Si eres realmente aventurero o quieres experimentar (después de haber parchado tu servidor de producción, por supuesto), puedes descargar la prueba de concepto desarrollada por Alex Wilson, el investigador de seguridad que descubrió y reportó la vulnerabilidad en 2017.
¡Vaya, soy vulnerable! ¿Qué debo hacer ahora?
Lo primero que debes hacer es desconectar de inmediato tu servidor VSA de internet hasta estar seguro de que no haya sido infectado. Si bien los ataques que vimos esta semana desplegaron ransomware de inmediato, es totalmente posible que otros atacantes conozcan esta vulnerabilidad y ya tengan un punto de apoyo persistente dentro de tu sistema. Desconectar el servidor VSA al menos evitará que despliegue ransomware mientras investigas.
Luego, audita a fondo tu servidor VSA y cualquier otra infraestructura crítica en busca de puntos de apoyo sospechosos o maliciosos, cuentas sospechosas, etc. Sabemos que este puede ser un proceso tedioso y largo, pero queremos que entiendas los riesgos asociados con un acceso de atacante de este nivel.
Por último, elimina la integración ManagedITSync y reemplázala con la versión más reciente antes de volver a conectar tu servidor VSA a internet.
En conclusión
Esperamos que esto aclare quién y qué es vulnerable. Recibimos muchas llamadas de MSPs preocupados por el riesgo y que querían saber si eran vulnerables, así que pensamos que era buena idea tratar de aclarar la situación. Avísanos si nos equivocamos en algo y haremos lo posible por corregirlo.
