Publicité en cours de chargement...

Publicité en cours de chargement...

Ryuk le retour : après UHS et Sopra Steria, le secteur de la santé en ligne de mire

02 nov. 2020 - 19:31,
Tribune - Charles Blanc-Rolin
Après un retour fracassant en compromettant fin septembre le système d’information d’UHS (Universal Health Services) [1], une chaîne de 400 établissements de santé et le SI du géant de l’IT français, Sopra Steria le 20 octobre [2], le rançongiciel Ryuk ciblerait à nouveau le secteur de la santé d’après une alerte émise conjointement par le CISA (« l’ANSSI américaine »), le FBI et le HHS (« Ministère américain de la santé ») [3].

Une alerte a également été émise par les équipes sécurité de Microsoft. En France, les adhérents au marché Microsoft à la CAIH ont pu la recevoir vendredi dernier.

Beaucoup de publications récentes reviennent sur les outils et méthodes employés par les attaquants pour s’infiltrer dans le SI et déployer le rançongiciel Ryuk. Je vous propose donc un petit tour d’horizon.

1. Vecteur d’attaque

Dans un excellent rapport publié par FireEye[4], il est possible de constater, que le point d’entrée, reste, comme très souvent, un courriel ! La plateforme de mailing SendGrid a été utilisée pour les premières campagnes et des liens vers des documents Google Docs semblent être fréquemment utilisés. Des liens, sur lesquels les victimes seraient invitées à cliquer, contenus dans ces documents pointeraient vers des binaires, qui étaient au départ hébergés sur des machines compromises. Les attaquants s’appuieraient dorénavant sur des services de partage de fichiers tels que Google Drive, Basecamp, Slack, Trello, Yougile et JetBrains pour héberger leurs logiciels malveillants.
Dans ce rapport très riche, on retrouve notamment un important listing de sujets de courriels utilisés dans les différentes campagnes [5].

2. Portes d’entrées et persistance

Dans ces campagnes, plusieurs loaders sont utilisés pour compromettre les machines des victimes, tels que BazarLoader (baptisé KegTap par FireEye), SingleMalt, WineKey, et se maintenir dans les systèmes des victimes avec des outils tels que BazarBackdoor (également appelé Team9Backdoor ou Beerbot chez FireEye) Emotet, TrickBot et AnchorDNS.

3. Post-exploitation

Une fois ancrés sur les machines compromises, les attaquants utilisent différents frameworks d’exploitation tels que Cobalt Strike, Metasploit, PowerTrick ou encore PowerShell EMPIRE. L’idée étant de partir à la découverte du SI auquel est connectée la machine compromise pour faire un maximum de dégâts.

4. L’Active Directory : une cible de choix

L’annuaire Active Directory est bien évidemment une cible de choix pour les attaquants. Dans leur quête d’informations, ils utilisent notamment BloodHound, AdFind ou encore Mimikatz dans le but de récupérer des identifiants et mot de passe de connexion, élever leurs privilèges au niveau administrateur de domaine et pouvoir déployer en masse sur le SI, le rançongiciel Ryuk ou son petit fère Conti.

5. Déplacement latéraux

Pour se déplacer sur les différents machines du SI, les attaquants utilisent des protocoles connus tels que RDP, WMI ou encore SMB : un grand classique !

6. ZeroLogon : une aubaine pour tout casser à vitesse grand V !

La vulnérabilité CVE-2020-1472 dite ZeroLogon est un pur bonheur pour les attaquants. Affectant le protocole d’authentification Active Directory, NetLogon, elle permet facilement à un attaquant de prendre le contrôle total d’un contrôleur de domaine et par conséquent d’un domaine Active Directory.
Elle a notamment été utilisée dans l’attaque contre les hôpitaux d’UHS pour compromettre l’ensemble du SI et déployer le rançongiciel Ryuk en cinq heures et deux minutes. Je vous recommande le rapport de The DFIR Report [6] sur cet incident.

Pour rappel, Microsoft a publié un correctif pour cette vulnérabilité en août, et des POCs publiques d’exploitation ont été publiés en septembre [7], donc, si vous n’avez pas encore patché vos contrôleurs : ALERTE GÉNÉRALE !!!

De nombreux indicateurs de compromission ont été publiés dans ces différents rapports, j’ai essayé de compiler les IOCs réseau en deux listes, les noms de domaines utilisés [8] et les adresses IP [9] des serveurs de commande et de contrôle.


[1] https://edition.cnn.com/2020/09/29/health/uhs-cyberattack-ops-down/index.html

[2] https://www.soprasteria.com/newsroom/press-releases/details/cyberattack-information-update

[3] https://us-cert.cisa.gov/ncas/alerts/aa20-302a

[4] https://www.fireeye.com/blog/threat-research/2020/10/kegtap-and-singlemalt-with-a-ransomware-chaser.html

[5] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_mail_subject.txt

[6] https://thedfirreport.com/2020/10/18/ryuk-in-5-hours/

[7] /article/3897/zerologon-est-il-vraiment-urgent-de-patcher-ses-controleurs-ad.html

[8] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_fqdn.txt

[9] https://github.com/woundride/network_iocs/blob/main/ryuk_unc1878_ip.txt

Avez-vous apprécié ce contenu ?

A lire également.

Illustration CareLib : une innovation co-construite au service du soin à l’EHPAD Les Charmilles

CareLib : une innovation co-construite au service du soin à l’EHPAD Les Charmilles

23 juin 2025 - 10:49,

Actualité

- Maellie Vezien, DSIH

En EHPAD, un résident chute en moyenne 1,7 fois par an, contre 0,65 à domicile. Un chiffre qui en dit long sur l’urgence de pouvoir détecter rapidement ces incidents et offrir un moyen simple et fiable d’appeler un soignant, peu importe l’endroit où se trouve le résident.

Illustration IA et santé : cap sur une cybersécurité consolidée et proactive

IA et santé : cap sur une cybersécurité consolidée et proactive

18 juin 2025 - 10:57,

Communiqué

- Trend Micro

Le secteur de la santé, porté par la vague de l’IA, veut gagner en flexibilité, innover dans la prise en charge des patients et maîtriser les coûts. Des promesses qui ne se concrétiseront que dans un cadre de sécurité robuste. En effet, l’IA se révèle à double tranchant. Elle renforce les lignes de ...

Illustration Appel à propositions de l’Europe pour la cybersécurité des PME et des organismes publics

Appel à propositions de l’Europe pour la cybersécurité des PME et des organismes publics

16 juin 2025 - 22:18,

Actualité

- Damien Dubois, DSIH

Le 12 juin, la Commission européenne a annoncé un investissement de 145,5 millions d’euros pour soutenir la cybersécurité des PME, administrations et établissements de santé.

Illustration Et c’est l’heure de notre quiz annuel

Et c’est l’heure de notre quiz annuel

16 juin 2025 - 22:10,

Tribune

-
Cédric Cartau

Ça y est, c’est bientôt l’été avec tout qui chauffe, le soleil qui revient, le maillot de bain de l’année dernière dans lequel vous ne rentrez plus – hiver oblige. Il est largement temps de se changer les idées avec un petit quiz aux questions subtilement nuancées, une exclusivité DSIH souvent imité...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.