2 июля группировка REvil использовала уязвимость в продукте Kaseya VSA – платформе удалённого управления, которой пользуются тысячи провайдеров управляемых услуг (MSP). Через один скомпрометированный инструмент шифровальщик разошёлся по сетям клиентов этих MSP. По оценкам Kaseya, пострадали порядка 1500 организаций в десятках стран. Атакующие запросили выкуп в 70 млн долларов за универсальный дешифратор.

Это не точечный взлом, а атака на цепочку поставок. Жертва доверяет своему подрядчику доступ с высокими правами – а подрядчик становится точкой входа сразу ко всем своим заказчикам. Один взлом масштабируется на сотни сетей.

Почему MSP – привлекательная цель

Логика управляемых сервисов строится на агентах с правами администратора, которые стоят на каждой машине клиента и принимают команды из центральной консоли. Удобно для эксплуатации и идеально для злоумышленника. Скомпрометировав консоль или механизм обновлений, атакующий рассылает вредоносную нагрузку штатным каналом, который у клиента помечен как доверенный. Антивирусы и политики часто исключают папки агентов RMM из проверки – именно это и сыграло в случае Kaseya.

Для российского бизнеса и госсектора вывод прямой: аутсорсинг ИТ-функции не снимает ответственности за риск. Подрядчик с административным доступом – часть вашего периметра, даже если юридически это отдельная компания. Если у вас уже сжатые ИТ-бюджеты после изменений налоговой нагрузки, о которых мы писали в обзоре налогового манёвра за полугодие, соблазн отдать всё на внешнее управление и забыть особенно велик и особенно опасен.

Что проверить в своей цепочке поставок

Атака на Kaseya – повод пересмотреть отношения с поставщиками ПО и услуг, а не разовый инцидент.

  • Инвентаризация доступа. Знайте, у каких подрядчиков есть административные права в вашей сети и через какие инструменты. Сегментируйте сеть так, чтобы компрометация одного агента не открывала всю инфраструктуру.
  • Минимум привилегий. RMM-агент не должен работать под доменным администратором. Ограничивайте права, включайте MFA на консолях управления, фиксируйте источники команд.
  • Контроль обновлений. Проверяйте подлинность и целостность пакетов, которые приходят от подрядчика. Безопасность цепочки поставок ПО начинается с того, как код собирается и доставляется, – этот принцип мы разбирали в материале про DevSecOps в конвейере поставки.
  • Мониторинг аномалий. Массовое одновременное выполнение скриптов на множестве хостов – сигнал тревоги. Поведенческая аналитика ловит такие всплески; те же подходы машинного обучения мы применяем в ML-скоринге для антифрода.

Что делать прямо сейчас

Если вы пользуетесь Kaseya VSA или услугами MSP на её базе – следуйте рекомендации вендора и CISA: держите серверы VSA выключенными до выхода проверенного патча и подтверждённых индикаторов компрометации. Запросите у подрядчика статус: использует ли он затронутую версию, какие меры принял, как уведомляет клиентов. Отсутствие внятного ответа – само по себе результат проверки.

Дальше – системная работа. Оцените, какие сервисы критичны, какой доступ к ним имеют внешние стороны и что произойдёт при компрометации каждого из них. Защита периметра, сегментация и контроль подрядчиков – от аудита прав доступа до внедрения мониторинга – складываются в единое направление информационной безопасности.

Главный вывод прост. Доверие к подрядчику – не замена контролю. Чем выше его права в вашей сети, тем строже должны быть границы, аудит и план реагирования на случай, когда взломают не вас, а того, кому вы доверяете.