Publicité en cours de chargement...

Publicité en cours de chargement...

Publicité en cours de chargement...

Ryuk le retour : après UHS et Sopra Steria, le secteur de la santé en ligne de mire

02 nov. 2020 - 19:31,
Tribune - Charles Blanc-Rolin
Après un retour fracassant en compromettant fin septembre le système d’information d’UHS (Universal Health Services) [1], une chaîne de 400 établissements de santé et le SI du géant de l’IT français, Sopra Steria le 20 octobre [2], le rançongiciel Ryuk ciblerait à nouveau le secteur de la santé d’après une alerte émise conjointement par le CISA (« l’ANSSI américaine »), le FBI et le HHS (« Ministère américain de la santé ») [3].

Une alerte a également été émise par les équipes sécurité de Microsoft. En France, les adhérents au marché Microsoft à la CAIH ont pu la recevoir vendredi dernier.

Beaucoup de publications récentes reviennent sur les outils et méthodes employés par les attaquants pour s’infiltrer dans le SI et déployer le rançongiciel Ryuk. Je vous propose donc un petit tour d’horizon.

1. Vecteur d’attaque

Dans un excellent rapport publié par FireEye[4], il est possible de constater, que le point d’entrée, reste, comme très souvent, un courriel ! La plateforme de mailing SendGrid a été utilisée pour les premières campagnes et des liens vers des documents Google Docs semblent être fréquemment utilisés. Des liens, sur lesquels les victimes seraient invitées à cliquer, contenus dans ces documents pointeraient vers des binaires, qui étaient au départ hébergés sur des machines compromises. Les attaquants s’appuieraient dorénavant sur des services de partage de fichiers tels que Google Drive, Basecamp, Slack, Trello, Yougile et JetBrains pour héberger leurs logiciels malveillants.
Dans ce rapport très riche, on retrouve notamment un important listing de sujets de courriels utilisés dans les différentes campagnes [5].

2. Portes d’entrées et persistance

Dans ces campagnes, plusieurs loaders sont utilisés pour compromettre les machines des victimes, tels que BazarLoader (baptisé KegTap par FireEye), SingleMalt, WineKey, et se maintenir dans les systèmes des victimes avec des outils tels que BazarBackdoor (également appelé Team9Backdoor ou Beerbot chez FireEye) Emotet, TrickBot et AnchorDNS.

3. Post-exploitation

Une fois ancrés sur les machines compromises, les attaquants utilisent différents frameworks d’exploitation tels que Cobalt Strike, Metasploit, PowerTrick ou encore PowerShell EMPIRE. L’idée étant de partir à la découverte du SI auquel est connectée la machine compromise pour faire un maximum de dégâts.

4. L’Active Directory : une cible de choix

L’annuaire Active Directory est bien évidemment une cible de choix pour les attaquants. Dans leur quête d’informations, ils utilisent notamment BloodHound, AdFind ou encore Mimikatz dans le but de récupérer des identifiants et mot de passe de connexion, élever leurs privilèges au niveau administrateur de domaine et pouvoir déployer en masse sur le SI, le rançongiciel Ryuk ou son petit fère Conti.

5. Déplacement latéraux

Pour se déplacer sur les différents machines du SI, les attaquants utilisent des protocoles connus tels que RDP, WMI ou encore SMB : un grand classique !

6. ZeroLogon : une aubaine pour tout casser à vitesse grand V !

La vulnérabilité CVE-2020-1472 dite ZeroLogon est un pur bonheur pour les attaquants. Affectant le protocole d’authentification Active Directory, NetLogon, elle permet facilement à un attaquant de prendre le contrôle total d’un contrôleur de domaine et par conséquent d’un domaine Active Directory.
Elle a notamment été utilisée dans l’attaque contre les hôpitaux d’UHS pour compromettre l’ensemble du SI et déployer le rançongiciel Ryuk en cinq heures et deux minutes. Je vous recommande le rapport de The DFIR Report [6] sur cet incident.

Pour rappel, Microsoft a publié un correctif pour cette vulnérabilité en août, et des POCs publiques d’exploitation ont été publiés en septembre [7], donc, si vous n’avez pas encore patché vos contrôleurs : ALERTE GÉNÉRALE !!!

De nombreux indicateurs de compromission ont été publiés dans ces différents rapports, j’ai essayé de compiler les IOCs réseau en deux listes, les noms de domaines utilisés [8] et les adresses IP [9] des serveurs de commande et de contrôle.


[1] https://edition.cnn.com/2020/09/29/health/uhs-cyberattack-ops-down/index.html

[2] https://www.soprasteria.com/newsroom/press-releases/details/cyberattack-information-update

[3] https://us-cert.cisa.gov/ncas/alerts/aa20-302a

[4] https://www.fireeye.com/blog/threat-research/2020/10/kegtap-and-singlemalt-with-a-ransomware-chaser.html

[5] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_mail_subject.txt

[6] https://thedfirreport.com/2020/10/18/ryuk-in-5-hours/

[7] /article/3897/zerologon-est-il-vraiment-urgent-de-patcher-ses-controleurs-ad.html

[8] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_fqdn.txt

[9] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_ip.txt

Avez-vous apprécié ce contenu ?

A lire également.

Illustration Horizon Santé 360 : Innovons ensemble pour notre souveraineté en santé

Horizon Santé 360 : Innovons ensemble pour notre souveraineté en santé

02 oct. 2025 - 10:31,

Communiqué

- La Poste Santé & Autonomie

Rendez-vous le 9 octobre 2025 à Paris pour la 3ᵉ édition d’Horizon Santé 360, l'événement annuel de La Poste Santé & Autonomie.

Illustration Dedalus et les Hospices Civils de Lyon s’associent pour transformer l’imagerie médicale avec la solution DeepUnity

Dedalus et les Hospices Civils de Lyon s’associent pour transformer l’imagerie médicale avec la solution DeepUnity

02 oct. 2025 - 10:04,

Communiqué

- Dedalus

Siège social Dedalus France, le 29 septembre 2025 - Le groupe Dedalus, acteur européen majeur de solutions logicielles en santé, et les Hospices Civils de Lyon (HCL) scellent un partenariat stratégique de plus de dix ans pour le déploiement du PACS (Picture Archiving and Communcation System) étendu ...

Illustration Le Data Act : une nouvelle ère pour la gouvernance des données de santé

Le Data Act : une nouvelle ère pour la gouvernance des données de santé

30 sept. 2025 - 07:15,

Tribune

-
Marguerite Brac de La Perrière

Le 12 septembre 2025 a marqué une étape décisive dans la stratégie européenne de la donnée avec l’entrée en application du Data Act (Règlement UE 2023/2854). Ce texte, pilier du marché unique de la donnée, vise à encadrer l’accès, le partage et la portabilité des données générées par les produits ...

Illustration « Intelligence artificielle au service de la santé » : quelle stratégie nationale règlementaire ?

« Intelligence artificielle au service de la santé » : quelle stratégie nationale règlementaire ?

29 sept. 2025 - 20:33,

Tribune

-
Alexandre FIEVEÉ &
Alice ROBERT

Partant du constat que l’IA est un « levier de transformation majeur » pour le système de santé français et qu’il est nécessaire d’organiser son développement en tenant compte de paramètres clés tels que la confiance et la clarté du paysage règlementaire et éthique, une stratégie interministérielle ...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.