La vulnérabilité zero-day utilisée pour violer les serveurs Kaseya VSA sur site était en train d’être corrigée, tout comme le gang de ransomware REvil l’a utilisé pour effectuer une attaque massive le vendredi.

La vulnérabilité avait été précédemment divulguée à Kaseya par des chercheurs en sécurité du Dutch Institute for Vulnerability Disclosure (DIVD), et Kaseya validait le correctif avant de le déployer auprès des clients.

Cependant, dans ce qui ne peut être considéré que comme un mauvais timing, le gang de ransomware REvil a battu Kaseya et a utilisé le même jour zéro pour mener son attaque du vendredi soir contre les fournisseurs de services gérés dans le monde entier et leurs clients.

« Après cette crise, il y aura la question de savoir qui est à blâmer. De notre côté, nous aimerions mentionner que Kaseya a été très coopératif. Une fois que Kaseya a pris connaissance de nos vulnérabilités signalées, nous avons été en contact et coopération constants avec eux . Lorsque les éléments de notre rapport n’étaient pas clairs, ils posaient les bonnes questions », a déclaré aujourd’hui DIVD Victor Gevers dans un article de blog.

« De plus, des correctifs partiels ont été partagés avec nous pour valider leur efficacité. Pendant tout le processus, Kaseya a montré qu’ils étaient prêts à déployer le maximum d’efforts et d’initiatives dans ce cas, à la fois pour résoudre ce problème et pour corriger leurs clients. »

« Ils ont montré un véritable engagement à faire ce qu’il fallait. Malheureusement, nous avons été battus par REvil dans le sprint final, car ils pouvaient exploiter les vulnérabilités avant même que les clients ne puissent corriger. »

Kaseya a confirmé à BleepingComputer qu’ils travaillaient en étroite collaboration avec DIVD.

On sait peu de choses sur le jour zéro

La vulnérabilité zero-day Kaseya a été découverte par le chercheur de DIVD Wietse Boonstra et a reçu l’identifiant CVE-2021-30116.

Interrogé sur la façon dont REvil a appris la vulnérabilité au fur et à mesure qu’elle était corrigée, Gevers a indiqué dans un tweet que la vulnérabilité était simple à exploiter.

Si je montrais…