ITPartners+
Op een vroege donderdagochtend kreeg ITPartners+ te maken met een kritieke ransomware-aanval. Hun klant werd aangevallen door de Akira ransomware groep. Dankzij Datto EDR en Datto Managed SOC, mogelijk gemaakt door RocketCyber, werd de aanval snel gedetecteerd en onder controle gebracht, waardoor wijdverspreide schade werd voorkomen. Cybersecurity Lead Casey Postma en zijn team waren in staat om systemen te herstellen vanaf back-ups nadat het security operations team van Datto de Akira ransomware had onderschept en gestopt. Op dinsdag waren de activiteiten van de klant volledig hersteld. Dit incident toonde de wendbaarheid en doorzettersmentaliteit van het ITPartners+ team en de waarde van het uitrusten van een vakkundig IT-team met de juiste tools, waardoor bedrijfscontinuïteit met minimale downtime voor de klanten van de MSP wordt gegarandeerd. CTO Chad McDonald benadrukte hun proactieve aanpak en de robuustheid van de gekozen cyberbeveiligingsoplossingen.
- Bedrijf: ITPartners+
- Opgericht: 2007
- Geïnterviewd: Chad McDonald, CTO van ITPartners+
Casey Postma, hoofd cyberbeveiliging bij ITPartners+
OVER
ITPartners+ werd in 2007 opgericht door een vader-zoon duo en levert volledig beheerde IT-services van wereldklasse met een holistische benadering. Het bedrijf biedt robuuste diensten op het gebied van monitoring, netwerkbeheer, back-up en bedrijfscontinuïteit, terwijl de focus blijft liggen op partnerschap, reactiesnelheid en beveiliging. Het team van ITPartners+ streeft ernaar dat hun klanten zich met een gerust hart kunnen richten op de groei van hun bedrijf en het bereiken van hun strategische doelen met een team van getalenteerde IT-professionals aan hun zijde.
“De reactietijd bedroeg iets meer dan een minuut vanaf het moment dat de versleuteling begon – wat het alarm activeerde – tot de reactie van het ransomwarebeleid. Dat was buitengewoon indrukwekkend.”
Cybersecurity Lead bij ITPartners+
In de vroege uren van een lentedonderdagochtend stond ITPartners+ voor een grote cyberbeveiligingsuitdaging: Een ransomware-aanval gericht op een van hun klanten. De aanval werd uitgevoerd door de Akira ransomware-groep. De bedreigers lieten er geen gras over groeien en begonnen kritieke servers te versleutelen en probeerden zich zo snel mogelijk over het netwerk te verspreiden. De timing van de aanval, vlak voor het Memorial Day-weekend, was een veelgebruikte strategische zet van aanvallers om de kans op betaling van losgeld te vergroten.
Chad McDonald, CTO van ITPartners+, herinnert zich: "We hebben andere cyberincidenten gehad, maar niet op de schaal van een ransomware-aanval. Dit was de eerste keer dat we ransomware actief een omgeving zagen aanvallen."
“Dit is zo’n geval waarbij je echt met het gevoel weggaat dat we het juiste product en de juiste leverancier hebben gekozen.”
Cybersecurity Lead bij ITPartners+
De eerste waarschuwing kwam via het RocketCyber-platform, een essentieel onderdeel van de cyberbeveiliging van het bedrijf.
Casey Postma, de Cybersecurity Lead bij ITPartners+, was de eerste die reageerde. Hij ontdekte de aanval toen hij vroeg wakker werd en zijn e-mails controleerde. Casey verklaarde: "Ik werd ongeveer een uur voor mijn wekker wakker en besloot mijn e-mail te controleren. Ik ontdekte dat Datto Managed SOC een noodticket had ingediend en ons had gebeld." Deze vroege detectie was cruciaal voor het beperken van de schade.
Met Datto's geavanceerde detectiecapaciteiten voor bedreigingen aan het werk, werd de eerste indicator van een compromittering geïdentificeerd op 04:59. Tussen 5AM en 05:15 isoleerden Datto en zijn ervaren SOC-team meer dan 30 apparaten om de verspreiding te stoppen en schadelijke processen te doden. "De reactietijd was iets meer dan een minuut vanaf het begin van de versleuteling die de waarschuwing activeerde en de reactie van het ransomware-beleid. Dat was zeer indrukwekkend," aldus Casey. Deze snelle isolatie voorkwam dat de ransomware zich naar andere delen van het netwerk verspreidde.
Toen de onmiddellijke dreiging eenmaal onder controle was, coördineerde ITPartners+ een uitgebreide reactie. Dit hield ook in dat er contact werd opgenomen met de cyberbeveiligingsverzekeraar van de klant, die een forensisch team zou inschakelen om de situatie verder te beoordelen. "Het waren de duidelijke indicatoren van de Akira ransomware die duidelijk maakten dat je echt te maken hebt met een ernstig incident," legt Casey uit.
Het herstelproces was intensief en vereiste de gecoördineerde inspanningen van meerdere teamleden. Door gebruik te maken van Datto EDR en de hulp van Datto's SOC-professionals slaagde ITPartners+ erin de getroffen servers te isoleren, waardoor de ransomware werd ingedamd en de schade tot een minimum werd beperkt. Chad benadrukte de cruciale rol van deze tools: "De kracht van ons team en die van de toolset die we tot onze beschikking hadden - Datto Managed SOC, Datto EDR, Datto BCDR, RMM - waren instrumenteel in het stoppen van de verspreiding en het herstellen van de getroffen systemen."
Tijdens het herstelproces heeft het team de servers met behulp van Datto BCDR uit back-ups teruggezet, waardoor de gegevens van de klant intact bleven en de bedrijfsvoering kon worden hervat. De klant van ITPartners+ was al op de eerste werkdag na het lange weekend weer volledig operationeel. Deze snelle afhandeling was van cruciaal belang om de uitvaltijd drastisch te verkorten, het verlies tot een minimum te beperken en de bedrijfscontinuïteit te waarborgen.
De samenwerking tussen ITPartners+ en Kaseya bleek een robuuste verdediging tegen de Akira ransomware-aanval, waarbij de snelle detectie en isolatie van geïnfecteerde systemen grote schade voorkwam en een snel herstel mogelijk maakte. De klant van ITPartners+ prees hen voor hun effectieve reactie, die de potentiële impact van de aanval aanzienlijk verminderde.
Chad keek terug op het incident en zei: "Dit is een van die incidenten waarbij je echt die theorie kunt testen, waarbij je wegloopt met ofwel ja, het deed wat we wilden; we hebben een positief resultaat, of je loopt weg met het gevoel dat je de verkeerde keuze hebt gemaakt. In dit geval hebben we gezegd dat we het juiste product en de juiste leverancier hebben gekozen."
ITPartners+ heeft met succes iets afgehandeld wat een verwoestende ransomware-aanval had kunnen zijn, wat hun toewijding aan hun kernwaarden bewijst: Doe goed werk, maak het leuk en denk groot. Hun proactieve aanpak, gecombineerd met de geavanceerde mogelijkheden van Datto Managed SOC en Datto EDR, zorgde ervoor dat hun klant zijn normale activiteiten met minimale verstoring kon hervatten.
Deze casestudy benadrukt het belang van een deskundig team en betrouwbare cyberbeveiligingstools om evoluerende cyberbedreigingen effectief te bestrijden.