Visma har mobilisert et stort antall mennesker for å redde 800 hackede Coop-butikker

Fortsatt er majoriteten av Coops svenske matvarebutikker stengt som følge av IT-angrepet som ble oppdaget før helgen. Det et satt krisestab, og Visma er involvert i opprydningen.

Selve hendelsen skal være utløst av et verdikjedeangrep som ble rettet mot Kaseya VSA (virtual server/system administrator), som er et verktøy for fjernadministrasjon av kassasystemer med kunder verden over.

Hos Coop sluttet plutselig både selvbetjeningsterminalene og de bemannede kassene å fungere ved 18.30-tiden på fredag.

Det norske Visma-konsernet har levert de berørte kassasystemene, som ble skilt ut og solgt for noen år siden og nå er eid av selskapet Extenda. Visma Esscom har fremdeles driftsansvaret for hele betalingsløsningen for Coop i Sverige.

Coop i Norge har andre løsninger og ble ikke rammet.

Må ta opp 800 butikker manuelt

Espen Håkonsen er IT-direktør i Visma-konsernet. Han trer ut av et krisemøte med Coop for å svare på spørsmål når Digi.no ringer mandag morgen.

– Visma stiller alle ressurser til rådighet for å bistå de ute i sluttleddet som har nedetid, sier Håkonsen.

Ifølge ham er bortimot 800 svenske Coop-butikker berørt av hendelsen. Svenske aviser melder at også enkelte av apotekkjeden Hjärtats filialer og matmarkedet Bonum i Gråbo er rammet.

Det skal ikke være påvist noen sårbarhet i de berørte kassasystemene. Mye taler for at skadevaren er blitt distribuert via den nevnte sårbarheten i fjernadministrasjonsverktøyet fra Kaseya, men Visma sier de vil avvente en endelig konklusjon før de kan bekrefte dette.

– På fredag ble det tydelig at Kaseya har en nulldagssårbarhet, og den har de fortsatt ikke patchet. Det eneste Kaseya kunne tilby, var beskjeden om at alle kunder som benytter deres verktøy, må skru det av umiddelbart, samt at de har gjort tilgjengelig et verktøy for å sjekke om serveren er berørt, fortsetter IT-direktøren.

Med nulldagssårbarhet menes en sårbarhet som noen har oppdaget, som ikke er kjent for leverandøren av det berørte produktet, eller en nylig kjent sårbarhet som det ennå ikke har blitt utgitt noen sikkerhetsfiks til. Ofte får leverandøren først vite om slike sårbarheter ved at de utnyttes i angrep som så blir oppdaget.

Ifølge den anerkjente sikkerhetseksperten Kevin Baumont har trusselgrupperingen Revil benyttet en slik nulldagssårbarhet i Kaseyas programvare.

200 teknikere på hjul

Visma installerer og drifter kassasystemene for Coop i Sverige. Dermed er det også de som er nærmest til å bistå med hjelp nå, slik IT-direktør Espen Håkonsen ser det.

– Vi har mobilisert et stort antall mennesker for å kunne få Coop ut av denne situasjonen. Det må være et par hundre stykker fra oss som er involvert. Det inkluderer mellom 80 og 100 serviceteknikere som nå kjører rundt til butikkene i Sverige.

Dette er et stort arbeid som ble påbegynt fredag kveld, pågikk gjennom helgen og fortsatt kommer til å pågå en stund. Håkonsen anslår at det vil gå flere dager.

1 million infiserte – eller færre enn 40?

Tidligere mandag dukket det opp krav om 70 millioner dollar for en universalnøkkel til alle ofrene for Kaseya-angrepet. Over én million systemer ble infisert, blir det hevdet på en Tor-basert anonymisert blogg – som angivelig er knyttet til den notoriske hackergruppen Revil.

Det er uansett påstander som ikke lar seg bekrefte. Det påståtte omfanget står i kontrast til anslaget fra Kaseya.

Her kan det også være store mørketall ettersom det er snakk om angrep mot en verdikjede der en kunde kan ha mange kunder under seg igjen.

– Kun en svært liten andel av kundene våre ble berørt. Etterforskningen pågår fremdeles, men basert på funn så langt, estimerer vi at færre enn 40 kunder globalt er berørt, skriver IT-leverandøren i sin nyeste oppdatering, som kom i går, 4. juli.

Ifølge Kaseya er kun den lokalt installerte «on-premise»-programvaren berørt av hackingen. Kunder med det nettbaserte produktet skal aldri ha vært i faresonen.

– Vi tok en konservativ tilnærming ved å stenge ned SaaS-serverne våre for å beskytte våre mer enn 36.000 kunder så godt vi kunne. Disse har aldri risikert noe. Vi forventer å gjenopprette tjenesten til disse kundene så fort vi har bekreftet dette. Det forventer vi å kunne gjøre i løpet av de neste 24-48 timene, skrev selskapet på søndag.

Ser ingen norske ofre

Espen Håkonsen i Visma er veldig tydelig i svaret når Digi.no spør om det også er norske kunder som er rammet av cyberangrepet mot Kaseya VSA.

– Nei, det er det ikke.

Han kan foreløpig ikke svare på når Coop-butikkene i Sverige kan være tilbake i normal drift.

Selv i Visma, som er Norges største IT-konsern med over 12.000 ansatte, har man aldri før sett maken til et lignende cyberangrep som nå rammet Coop med flere.

– Nei, vi har ikke opplevd noe lignende tidligere. Det som gjør dette vanskelig, er at det er fjerndrifts- og patcheverktøyet til så mange lokasjoner som er rammet. Man må være on-site på alle stedene for å få opp de siste klientene. Det innebærer at vi må kjøre ut til 800 butikker. Hele logistikken blir massiv, sier IT-direktør Håkonsen.