Η Stryker Corporation, μία από τις μεγαλύτερες εταιρείες ιατρικής τεχνολογίας παγκοσμίως, ανακοίνωσε ότι επέστρεψε σε πλήρη λειτουργία τρεις εβδομάδες μετά την καταστροφική κυβερνοεπίθεση που διέγραψε δεδομένα από χιλιάδες συστήματα. Η επίθεση πραγματοποιήθηκε από την ιρανική ομάδα Handala, η οποία κατάφερε να διαγράψει περίπου 80.000 συσκευές υπαλλήλων σε όλο τον κόσμο. Το περιστατικό αναδεικνύει την αυξανόμενη απειλή που αντιμετωπίζουν οι κρίσιμες υποδομές υγείας από κρατικά χορηγούμενες κυβερνοεπιθέσεις.
Η εταιρεία, που απασχολεί πάνω από 53.000 εργαζόμενους σε 61 χώρες, παράγει ευρύ φάσμα ιατρικών προϊόντων, συμπεριλαμβανομένης νευροτεχνολογίας και χειρουργικού εξοπλισμού, εξυπηρετώντας περισσότερους από 150 εκατομμύρια ασθενείς ετησίως.
Οι επιτιθέμενοι ξεκίνησαν τη διαγραφή των συστημάτων της Stryker στις 11 Μαρτίου, ισχυριζόμενοι ότι είχαν κλέψει 50 terabytes δεδομένων πριν διαγράψουν σχεδόν 80.000 συσκευές νωρίς το πρωί. Η επίθεση πραγματοποιήθηκε χρησιμοποιώντας έναν νέο Global Administrator λογαριασμό που δημιουργήθηκε μετά την παραβίαση ενός Windows domain admin λογαριασμού.
Δείτε επίσης: Η CISA συνιστά ενίσχυση της διαχείρισης endpoint μετά την επίθεση στη Stryker
Η ομάδα Handala εκμεταλλεύτηκε τη λειτουργία απομακρυσμένης διαγραφής του Microsoft Intune, στέλνοντας εντολές factory reset σε όλες τις εγγεγραμμένες συσκευές. Αυτή η τακτική επέτρεψε στους επιτιθέμενους να προκαλέσουν μαζική καταστροφή χωρίς να χρειαστεί να αναπτύξουν περίπλοκο malware σε κάθε στόχο ξεχωριστά.
Η επίθεση προκάλεσε άμεσες και εκτεταμένες διαταραχές στις υπηρεσίες υγείας σε πολλαπλές χώρες.
Τεχνικές λεπτομέρειες της επίθεσης Stryker
Σύμφωνα με ερευνητές ασφάλειας, η επίθεση αντιπροσώπευε μια νέα και ανησυχητική προσέγγιση στις καταστροφικές κυβερνοεπιθέσεις. Αντί να χρησιμοποιήσουν παραδοσιακό malware ή ransomware, οι επιτιθέμενοι εκμεταλλεύτηκαν νόμιμα εργαλεία διαχείρισης, ακολουθώντας τακτική “living-off-the-land”.
Η Check Point Research και ο Sergey Shykevich χαρακτήρισαν την επίθεση ανησυχητική για τον τομέα της υγείας, καθώς θέτει σε κίνδυνο την ασφάλεια των ασθενών μέσω διαταραχής κρίσιμων υποδομών. Η Palo Alto Networks Unit 42 και η έρευνα της Stryker απέκλεισαν τη χρήση ransomware ή malware, αλλά εντόπισαν ένα κακόβουλο αρχείο που χρησιμοποιήθηκε για την εκτέλεση κρυφών εντολών στο δίκτυο της εταιρείας.
Δείτε επίσης: Ιρανοί χάκερ αναλαμβάνουν ευθύνη για επίθεση τύπου wiper στην Stryker
Μετά την αποκάλυψη της επίθεσης, η CISA και η Microsoft εξέδωσαν επείγουσες οδηγίες για την ασφάλεια του Intune και την ενίσχυση των Windows domains για να αποκλείσουν παρόμοιες επιθέσεις. Οι συστάσεις περιλαμβάνουν την εφαρμογή least-privilege access, τη χρήση phishing-resistant MFA και την παρακολούθηση αλλαγών σε Global Admin λογαριασμούς.
Παράλληλα, το FBI κατέσχεσε δύο ιστότοπους που χρησιμοποιούσαν οι Handala hackers για τον συντονισμό των δραστηριοτήτων τους.
Η ομάδα Handala και οι συνδέσεις της με το Ιράν
Η Handala εμφανίστηκε τον Δεκέμβριο του 2023 ως ιρανική και προ-παλαιστινιακή hacktivist ομάδα που αρχικά στόχευε ισραηλινούς οργανισμούς με Windows και Linux data-wiping malware. Η ομάδα έχει συνδεθεί με το Υπουργείο Πληροφοριών και Ασφάλειας του Ιράν (MOIS) και είναι επίσης γνωστή για τη διαρροή ευαίσθητων δεδομένων από παραβιασμένα συστήματα θυμάτων. Οι προηγούμενες δραστηριότητές της περιλαμβάνουν phishing εκστρατείες, κλοπή δεδομένων, εκβιασμό και καταστροφικές επιθέσεις κυρίως εναντίον στόχων στη Μέση Ανατολή.
Η επίθεση στη Stryker σηματοδότησε την πρώτη μεγάλη στόχευση αμερικανικής επιχείρησης από την ομάδα, επεκτείνοντας τις δραστηριότητές της πέρα από τους παραδοσιακούς ισραηλινούς στόχους. Ειδικοί ασφάλειας πιστεύουν ότι η επιλογή της Stryker ως στόχου μπορεί να σχετίζεται με την παγκόσμια εμβέλεια της εταιρείας και τον κρίσιμο ρόλο της στις υπηρεσίες υγείας.
Δείτε επίσης: Stryker: Ιρανοί χάκερ χρησιμοποίησαν κλεμμένα διαπιστευτήρια
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Συστάσεις ασφάλειας και μαθήματα από την επίθεση
Η επίθεση στη Stryker αναδεικνύει την ανάγκη για ενισχυμένα μέτρα ασφάλειας στη διαχείριση Mobile Device Management (MDM) συστημάτων. Οι εταιρείες πρέπει να εφαρμόσουν αυστηρότερους ελέγχους πρόσβασης για Global Administrator λογαριασμούς, να διαχωρίσουν τις εταιρικές από τις προσωπικές συσκευές BYOD και να αποφύγουν την υπερβολική εξάρτηση από μεμονωμένα εργαλεία όπως το Intune. Επιπλέον, η ενεργοποίηση επιβεβαιώσεων διαγραφής και η τακτική επιθεώρηση απομακρυσμένων εντολών μπορούν να περιορίσουν τις καταστροφικές συνέπειες παρόμοιων επιθέσεων.
Την Τετάρτη, η Stryker ανακοίνωσε ότι είχε αποκαταστήσει αρκετά συστήματα για να επιστρέψει στα επίπεδα λειτουργίας πριν από την επίθεση. Σύμφωνα με το BleepingComputer, η εταιρεία δήλωσε: “Από αυτή την εβδομάδα, λειτουργούμε πλήρως σε όλο το παγκόσμιο δίκτυο παραγωγής μας. Η παραγωγή κινείται ταχέως προς τη μέγιστη δυναμικότητα με πειθαρχία και σταθερότητα“.
