Εργαλείο απομακρυσμένης πρόσβασης που παραβιάστηκε από εγκληματίες για πρόσβαση σε παρόχους υγειονομικής περίθαλψης

Οι χάκερ πρόκειται να κλιμακώσουν τις επιθέσεις εναντίον πολλών οργανισμών υγειονομικής περίθαλψης στις

Ηνωμένες Πολιτείες

χρησιμοποιώντας παραβιασμένη πρόσβαση σε μια παρουσία του ScreenConnect, ενός δημοφιλούς εργαλείου απομακρυσμένης επιφάνειας

εργασία

ς, που ανήκει στα Transaction Data Systems (TDS).

Η TDS είναι ένας πάροχος λύσεων εφοδιαστικής αλυσίδας και συστημάτων διαχείρισης φαρμακείων με γραφεία και στις 50 πολιτείες των

ΗΠΑ

. Σε αυτό το σημείο, οι ερευνητές, από διαχειριζόμενη πλατφόρμα ασφαλείας

Κυνηγός

, δεν ξέρω ακριβώς πώς οι εισβολείς είχαν πρόσβαση στην παρουσία. Γνωρίζουν ότι χρησιμοποίησαν αυτήν την πρόσβαση για να ρίξουν κακόβουλο λογισμικό σε τελικά σημεία που ανήκουν σε δύο διαφορετικούς οργανισμούς: έναν στον φαρμακευτικό τομέα και τον άλλο στον τομέα της υγείας.

Το μόνο κοινό πράγμα που έχουν, τόνισαν οι ερευνητές, είναι το παράδειγμα ScreenConnect, καθώς και τα δύο τελικά σημεία είναι ένα σύστημα

Windows

Server 2019.

Εν αναμονή κακόβουλου λογισμικού

«Ο παράγοντας της απειλής προχώρησε στη λήψη πολλών βημάτων, συμπεριλαμβανομένης της εγκατάστασης πρόσθετων εργαλείων απομακρυσμένης πρόσβασης, όπως οι παρουσίες ScreenConnect ή AnyDesk, για να διασφαλίσει μόνιμη πρόσβαση στα περιβάλλοντα», ανέφεραν οι ερευνητές στην έκθεσή τους.

Μεταξύ 28 Οκτωβρίου και 8 Νοεμβρίου 2023, παρατηρήθηκε ότι οι εισβολείς έριξαν ένα ωφέλιμο φορτίο με τίτλο text.xml και στα δύο τελικά σημεία. Το αρχείο έφερε έναν κώδικα C# που φορτώνει το κακόβουλο λογισμικό Meterpreter μέσω του σταγονόμετρου Metasploit. Οι ερευνητές εντόπισαν επίσης πρόσθετες διαδικασίες που δρομολογήθηκαν μέσω της υπηρεσίας Printer Spooler, καθώς και μια προσπάθεια δημιουργίας νέων λογαριασμών χρηστών.

Την ώρα του Τύπου, οι ερευνητές δεν μπορούσαν ακόμη να προσδιορίσουν εάν οι χάκερ εκμεταλλεύτηκαν μια τρύπα (ή ένα zero-day) για να αποκτήσουν πρόσβαση στα συστήματα του TDS ή αν με κάποιο τρόπο απέκτησαν έγκυρα διαπιστευτήρια σύνδεσης. Οι επιθέσεις είναι πιθανό να συνεχίζονται, κατέληξαν οι ερευνητές, προσθέτοντας ότι προσπάθησαν να επικοινωνήσουν με την εταιρεία σε πολλές περιπτώσεις, χωρίς αποτέλεσμα. Το περασμένο καλοκαίρι, μετά από μια συγχώνευση, η TDS έγινε Outcomes One.

Δεν υπήρχε τίποτα στο ιστολόγιο, στο newsroom, στους λογαριασμούς LinkedIn και X της εταιρείας, αλλά θα ενημερώσουμε το άρθρο εάν η εταιρεία κοινοποιήσει νέες πληροφορίες εγκαίρως.