"Es waren lange, lange 5 Tage für uns alle", so der Kaseya-CEO Fred Voccola in einem Video-Statement am gestrigen 8. Juli, nachdem wenige Tage zuvor ein Ransomware-Angriff auf das Unternehmen bekannt geworden war.

Am 3. Juli meldete Kaseya, dass die Fernwartungssoftware Virtual Systems Administrator (VSA) von der REvil Ransomware getroffen wurde. Das Unternehmen nahm seine SaaS-Dienste offline und forderte On-Premises-Kunden auf, auch ihre VSA-Server offline zu nehmen.

Der Firmenchef geht davon aus, dass weniger als 0,1 % der Kaseya-Kunden vom Vorfall betroffen sind. Da aber Managed Service Provider (MSPs) zu den Kunden gehören, könnte der Kreis der insgesamt Betroffenen grösser sein. Derzeitige Schätzungen gehen davon aus, dass 800 bis 1500 KMU von einer Ransomware-Kompromittierung durch ihren MSP betroffen sein könnten. 

Nun kündigte der Kaseya-Chef an, dass man die Wiederherstellung der SaaS-Dienste vom 8. Juli auf Sonntag, den 11. Juli, verschoben habe. Man habe zwar sämtliche Schwachstellen behoben, aber Ingenieure von Drittanbietern hätten Vorschläge für zusätzliche Security-Massnahmen unterbreitet.

 Es sei keine einfache Entscheidung und die Verzögerung "nerve", so Voccola. Die zusätzlichen Massnahmen sollen "uns vor Dingen schützen, die wir nicht vorhersehen konnten". 

Sobald die SaaS-Server betriebsbereit seien, werde Kaseya einen Zeitplan für die Verteilung eines Patches an die On-Premises-Clients veröffentlichen. "Wir implementieren zuerst in SaaS, da wir jeden Aspekt dieser Umgebung kontrollieren. Sobald das begonnen hat, werden wir den Zeitplan für die Verteilung des Patches für On-Premises-Kunden veröffentlichen", erklärte das Unternehmen sein Vorgehen.

Wie das niederländische Institut für Vulnerability Disclosure (DIVD) erklärte, hätten Forscher am 7. April Schwachstellen in Kaseyas Fernüberwachungs- und -verwaltungsprodukt VSA entdeckt und das Unternehmen darüber informiert. 4 Lücken seien mit Patches im April und Mai geschlossen worden. Weitere seien mit der Version 9.5.7 gefixt worden, die ab 7. Juli für On-Premises-Kunden verfügbar gemacht werden sollte, so die Timeline beim DIVD. Aber 5 Tage vor diesem Termin haben Cyberkriminelle die Lücke ausgenutzt.

"Wir befanden uns in einem koordinierten Prozess zur Offenlegung von Schwachstellen mit dem Anbieter, während dies geschah", erklärt ein Forscher des DIVD. "Die CVEs waren bereit, veröffentlicht zu werden. Die Patches wurden erstellt und für die Verteilung vorbereitet."