2021年7月2日に発覚、海外、リモート監視管理 (RMM) ソフトウェア

Kaseya VSA サプライチェーン型ランサムウェア攻撃

供給網
認証
検知

MSP向け統合管理ソフトVSAの脆弱性を突かれ、正規の配信の仕組みで世界中の顧客にランサムウェアが配られた

何があったか

2021年7月2日、米国の独立記念日を控えた金曜日、CISAはKaseyaの統合型リモート監視管理ソフトVSAと、それを使う複数のMSPに対するサプライチェーン型のランサムウェア攻撃が起きていると発表し、影響のある組織にVSAサーバーの即時停止を呼びかけた。攻撃者はVSAにあった脆弱性(CISAは後にCVE-2021-30116として、認証前にセッションIDを取得できる情報漏えいの脆弱性でランサムウェアキャンペーンでの悪用が確認されていると公表)を突いてVSAサーバーに不正にアクセスし、VSAが持つ正規のソフトウェア配信の仕組みを悪用して、MSPとその顧客のエンドポイントに悪意あるコードを配った。配られたコードはSodinokibi/REvilランサムウェアを実行し、世界中の組織のコンピューターのデータを暗号化した。7月6日、CISAとFBIはMSPに検知ツールの利用と多要素認証の徹底を、顧客には隔離したバックアップと手動でのパッチ適用などを求める共同ガイダンスを出した。

7月12日、Kaseyaは脆弱性に対応したVSAオンプレミス版9.5.7aを公開した。2021年11月8日、米司法省はウクライナ国籍のYaroslav Vasinskyi(22)を7月2日のKaseya攻撃の実行者として起訴したと発表した。Vasinskyiは同年10月8日にポーランドで身柄を拘束され、米国への引き渡し手続きを待つ状態にあった。

入口: 攻撃者はKaseyaの統合型リモート監視管理ソフトVSAにあった脆弱性を突いてVSAサーバーへの不正なアクセス経路を得た。CISAはこの脆弱性を後にCVE-2021-30116として公表し、認証前にセッションIDを取得できる情報漏えいの脆弱性で、既知のランサムウェアキャンペーンでの悪用が確認されているとした
決め手の失敗: VSAは多数のMSPとその顧客のエンドポイントへソフトウェアを配る正規の仕組みを持っていたため、1つの脆弱性を突かれただけで悪意あるコードがエンドポイントまで一気に配布される、サプライチェーン型の攻撃が成立した
被害: Kaseya VSAを使うMSPとその顧客である世界中の組織のコンピューターのデータが暗号化された。攻撃者は復号と引き換えに身代金を要求し、支払わない場合は盗んだとするデータの公開や第三者への売却を示唆した

攻撃の流れ

入口VSAにあった脆弱性 (CISAが後にCVE-2021-30116として公開。認証前にセッションIDを取得できる情報漏えいの脆弱性) を突いて、VSAサーバーへの不正なアクセス経路を得た
供給網による拡散得たアクセスを使い、VSAが持つMSPとその顧客のエンドポイントへソフトウェアを配る正規の仕組みを悪用して、悪意あるコードをエンドポイントに配った
暗号化配られたコードがエンドポイント上でSodinokibi/REvilランサムウェアを実行し、データを暗号化した。被害者のコンピューターにはTorのアドレスと身代金支払いサイトへのリンクを記した電子ファイルが残された
影響世界中でKaseyaのソフトウェアを使っていた組織のコンピューターのデータが暗号化された。身代金を支払わない被害者について、攻撃者は盗んだデータを公開するか第三者に売却したと主張した

数字で見る

98日攻撃の発生からVasinskyiの身柄拘束まで[6] 2021年7月2日の攻撃から同年10月8日のポーランドでの身柄拘束までを資料の日付から数えた

気づいたきっかけ

2021年7月2日、CISAはKaseya VSAとそれを使う複数のMSPに対するサプライチェーン型のランサムウェア攻撃が起きていることを把握したと発表し、影響のある組織にVSAサーバーの即時停止を呼びかけた

対応と復旧

CISAとFBIは7月6日、MSPに対し検知ツールの利用、全アカウントへの多要素認証の徹底、RMMの管理画面をVPNやファイアウォールの内側に置くことを、MSPの顧客に対しては隔離したバックアップの保持、手動でのパッチ適用、多要素認証、最小権限の徹底を求める共同ガイダンスを出した。Kaseyaは7月12日、攻撃を可能にした脆弱性に対応したVSAオンプレミス版9.5.7aを公開した

組織が認めた原因と、決めた対策

認めた原因

CISAは既知の悪用された脆弱性カタログで、VSAの情報漏えいの脆弱性 (CVE-2021-30116、認証前にセッションIDを取得できる) についてランサムウェアキャンペーンでの悪用が確認されている (Known) としている

自分のサービスで確かめること

RMMやMSP向け管理ソフトの管理インターフェースが、許可されたIPアドレスやVPN経由に限定されているか確かめる
委託先や保守用を含め、外から入れるアカウントに多要素認証の例外が残っていないか一覧で確かめる
ソフトウェアベンダーや関連する脆弱性カタログ (CISAのKEVなど) の情報を定期的に確認し、該当する製品のパッチ適用状況を把握する
ソフトウェア配信の仕組みが侵害された場合に、配信先の全エンドポイントにどこまで影響が及ぶか把握しているか確かめる
バックアップが本番と同じ権限では消せない場所にあり、戻す手順を試したことがあるか確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

7月2日発覚 CISAがKaseya VSAとそれを使う複数のMSPに対するサプライチェーン型のランサムウェア攻撃が起きていると発表し、VSAサーバーの即時停止を呼びかけた[1]
7月6日対応 CISAとFBIがMSPとその顧客向けの共同ガイダンスを公表した[2]
7月12日復旧 Kaseyaが脆弱性に対応したVSAオンプレミス版9.5.7aを公開した[3]
10月8日処分 Yaroslav Vasinskyiがポーランドで身柄を拘束された[6]
11月3日公表 CISAが既知の悪用された脆弱性カタログにCVE-2021-30116 (VSAのセッションID情報漏えいの脆弱性) を追加し、ランサムウェアキャンペーンでの悪用が確認されているとした[5]
11月8日公表米司法省がYaroslav Vasinskyiを7月2日のKaseya攻撃の実行者として起訴したと発表した。同時にYevgeniy Polyaninへの起訴と、別件の資金610万ドルの差し押さえも発表した[6]

攻撃した側について

公的機関が名指しした攻撃者 Yaroslav Vasinskyi、Sodinokibi/REvil

米司法省(DOJ)は2021年11月8日、ウクライナ国籍のYaroslav Vasinskyi(22)に対する起訴を公開し、2021年7月2日のKaseyaへのランサムウェア攻撃の実行者であると認定した。DOJによれば、VasinskyiはKaseyaの製品を通じて悪意あるSodinokibi/REvilのコードを配布させ、Kaseyaの顧客網のエンドポイントにREvilランサムウェアを展開させた。Vasinskyiは同年10月8日にポーランドで身柄を拘束され、米国への引き渡しを待つ状態にあった。DOJは同時にロシア国籍のYevgeniy Polyaninを、2019年8月のテキサス州の企業・行政機関へのSodinokibi/REvil攻撃について起訴し、関連する610万ドルの差し押さえを発表したが、これはKaseyaへの攻撃とは別件として記載されている。DOJは起訴は単なる申し立てであり、有罪が確定するまで被告は無罪と推定されると付記している

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

Kaseya VSA Supply-Chain Ransomware Attack (CISA Alert) CISA、2021年7月2日、公的機関の資料
CISA-FBI Guidance for MSPs and their Customers Affected by the Kaseya VSA Supply-Chain Ransomware Attack CISA, FBI、2021年7月6日、公的機関の資料
Kaseya Provides Security Updates for VSA On-Premises Software Vulnerabilities (CISA Alert) CISA、2021年7月12日、公的機関の資料
Kaseya Ransomware Attack, Guidance and Resources (CISA Alert) CISA、2021年7月13日、公的機関の資料
Known Exploited Vulnerabilities Catalog (CVE-2021-30116 のエントリー) CISA、2021年11月3日、公的機関の資料
Ukrainian Arrested and Charged with Ransomware Attack on Kaseya (DOJ Press Release) U.S. Department of Justice、2021年11月8日、公的機関の資料