Publicité en cours de chargement...

Publicité en cours de chargement...

Publicité en cours de chargement...

Le groupe Orangeworm cible le secteur de la santé

24 avril 2018 - 20:52,
Tribune - Charles Blanc-Rolin
Selon un rapport [1] publié par Symantec hier (23 avril), le groupe d’attaquants Orangeworm, responsable de plusieurs attaques ciblées depuis 2015 aurait récemment lancé une attaque ciblée visant spécifiquement le secteur de la santé.

Même si l’origine du groupe Orangeworm et ses motivations n’ont pas été déterminées avec précisions à ce jour, tout laisse à penser que son but est de dérober des informations de santé aux établissements.

D’après Symantec, près de 40 % des victimes de cette attaque seraient des établissements de santé. Les autres secteurs victimes de cette attaque seraient tous en lien avec le secteur de la santé (éditeurs de logiciels, industrie pharmaceutique, constructeurs de dispositifs médicaux...).

orangeworm_sectors

La méthode de compromission initiale n’est pas évoquée dans le rapport, mais une variante du cheval de Troie Kwampirs [2] découvert en 2016, aurait été utilisée pour permettre l’établissement de connexions entre les machines compromises et les serveurs de commandes et de contrôle des attaquants.

Après une première collecte d’informations, les attaquants déterminent si la machine victime est intéressante ou non. Si la victime semble intéressante, il est ensuite propagé comme un vers dans le système d’informations, notamment à l’aide des partages réseau qu’il aurait pu trouver.

Afin de rester le plus discret possible, Kwampirs n’utilise pas d’outils tiers connus, mais uniquement des commandes intégrées au système Windows pour scanner le réseau.

Pour échapper à la détection par signatures des antivirus, il insère une chaîne de caractères aléatoires dans la DLL servant de charge utile.

dll

Afin de conserver un accès persistant sur les machines infectées, un service baptiséWmiApSrvEx qui se lance automatiquement au démarrage est installé.

service

Même si les États-Unis semble être le pays dénombrant le plus de victimes (17%), de nombreux pays d’Asie et d’Europe, et notamment la France (2%) ont également été touchés.

orangeworm_pays


Le logiciel malveillant a été retrouvé sur des dispositifs médicaux, tels que des appareils d’imagerie médicale (radiographie, IRM), ainsi que sur des machines destinées à aider les patients à remplir des formulaires de consentement.

Symantec donne quelques indicateurs de compromissions [3], tels que les adresses IP des serveurs C2 utilisés par les attaquants :

Même si à l’heure où j’écris ces quelques lignes, les serveurs semblent injoignables et toutes traces ont l’air d’avoir disparu de Shodan :

ping

shodan

On peut se demander si cette attaque est finie ou si les serveurs sont accessibles que dans des plages horaires restreintes, sont désactivés temporairement pour se faire oublier, d’autres serveurs sont utilisés, le mystère reste entier ?

Une petite vérification des logs de nos firewalls peut s’avérer pertinente dans un premier temps, et la recherche des indicateurs de compromission dans un second temps peut l’être également en cas de trafic suspect, même si tout le monde sait bien que nos dispositifs médicaux se trouvent tous dans des réseaux isolés qui ne communiquent jamais au grand jamais avec Internet...


[1] 

[2] 

[3] 

Avez-vous apprécié ce contenu ?

A lire également.

Illustration Cybersécurité hospitalière : le GHT Rhône Nord Beaujolais Dombes, premier lauréat du programme CaRE

Cybersécurité hospitalière : le GHT Rhône Nord Beaujolais Dombes, premier lauréat du programme CaRE

09 mai 2025 - 16:39,

Actualité

- DSIH

Le programme CaRE franchit une étape clé. Moins d’un an après le lancement de son premier appel à financement dédié à la sécurisation des annuaires techniques et de l’exposition sur Internet, la direction du programme annonce la validation du premier dossier ayant atteint l’ensemble des objectifs fi...

Illustration Ce que nous enseigne la mégapanne électrique dans la péninsule ibérique

Ce que nous enseigne la mégapanne électrique dans la péninsule ibérique

05 mai 2025 - 23:11,

Tribune

-
Cédric Cartau

Impossible de l’avoir ratée, la mégapanne électrique chez nos amis espagnols et portugais. Cet incident est riche d’enseignements, et force est de constater qu’il n’y a pas que des mauvaises nouvelles. D’abord, selon nos informations à ce jour, il n’y a eu aucune victime : c’est une bonne nouvelle.

Illustration Un hôpital, sous-traitant, sanctionné pour ne pas avoir déclaré les sous-traitants ultérieurs

Un hôpital, sous-traitant, sanctionné pour ne pas avoir déclaré les sous-traitants ultérieurs

02 mai 2025 - 16:13,

Tribune

- Alexandre Fievee, Gaétan Dufoulon et Alice Robert de Derriennic Associés

Par décision du 10 avril 2025 [1], l’autorité de contrôle espagnole a infligé une amende de 500.000 euros à un hôpital qui avait recruté des sous-traitants ultérieurs sans en informer préalablement le responsable du traitement.

Illustration Éthicovigilance numérique : premiers signaux d’alerte dans la santé connectée

Éthicovigilance numérique : premiers signaux d’alerte dans la santé connectée

24 avril 2025 - 15:14,

Actualité

- DSIH

La Délégation au numérique en santé (DNS) publie le premier rapport d’activité de la Plateforme d’éthicovigilance du numérique en santé, un dispositif inédit lancé fin 2023 pour recueillir les signalements d’usagers et de professionnels confrontés à des enjeux éthiques liés aux technologies de santé...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.