Vous êtes dans : Accueil > Tribunes libres >

Le groupe Orangeworm cible le secteur de la santé

Charles Blanc-Rolin, MARDI 24 AVRIL 2018 Soyez le premier à réagirSoyez le premier à réagir

Selon un rapport [1] publié par Symantec hier (23 avril), le groupe d’attaquants Orangeworm, responsable de plusieurs attaques ciblées depuis 2015 aurait récemment lancé une attaque ciblée visant spécifiquement le secteur de la santé.

Même si l’origine du groupe Orangeworm et ses motivations n’ont pas été déterminées avec précisions à ce jour, tout laisse à penser que son but est de dérober des informations de santé aux établissements.

D’après Symantec, près de 40 % des victimes de cette attaque seraient des établissements de santé. Les autres secteurs victimes de cette attaque seraient tous en lien avec le secteur de la santé (éditeurs de logiciels, industrie pharmaceutique, constructeurs de dispositifs médicaux...).

orangeworm_sectors

La méthode de compromission initiale n’est pas évoquée dans le rapport, mais une variante du cheval de Troie Kwampirs [2] découvert en 2016, aurait été utilisée pour permettre l’établissement de connexions entre les machines compromises et les serveurs de commandes et de contrôle des attaquants.

Après une première collecte d’informations, les attaquants déterminent si la machine victime est intéressante ou non. Si la victime semble intéressante, il est ensuite propagé comme un vers dans le système d’informations, notamment à l’aide des partages réseau qu’il aurait pu trouver.

Afin de rester le plus discret possible, Kwampirs n’utilise pas d’outils tiers connus, mais uniquement des commandes intégrées au système Windows pour scanner le réseau.

Pour échapper à la détection par signatures des antivirus, il insère une chaîne de caractères aléatoires dans la DLL servant de charge utile.

dll

Afin de conserver un accès persistant sur les machines infectées, un service baptiséWmiApSrvEx qui se lance automatiquement au démarrage est installé.

service

Même si les États-Unis semble être le pays dénombrant le plus de victimes (17%), de nombreux pays d’Asie et d’Europe, et notamment la France (2%) ont également été touchés.

orangeworm_pays


Le logiciel malveillant a été retrouvé sur des dispositifs médicaux, tels que des appareils d’imagerie médicale (radiographie, IRM), ainsi que sur des machines destinées à aider les patients à remplir des formulaires de consentement.

Symantec donne quelques indicateurs de compromissions [3], tels que les adresses IP des serveurs C2 utilisés par les attaquants :

Même si à l’heure où j’écris ces quelques lignes, les serveurs semblent injoignables et toutes traces ont l’air d’avoir disparu de Shodan :

ping

shodan

On peut se demander si cette attaque est finie ou si les serveurs sont accessibles que dans des plages horaires restreintes, sont désactivés temporairement pour se faire oublier, d’autres serveurs sont utilisés, le mystère reste entier ?

Une petite vérification des logs de nos firewalls peut s’avérer pertinente dans un premier temps, et la recherche des indicateurs de compromission dans un second temps peut l’être également en cas de trafic suspect, même si tout le monde sait bien que nos dispositifs médicaux se trouvent tous dans des réseaux isolés qui ne communiquent jamais au grand jamais avec Internet...


[1] https://www.symantec.com/blogs/threat-intelligence/orangeworm-targets-healthcare-us-europe-asia

[2] https://www.symantec.com/security-center/writeup/2016-081923-2700-99

[3] https://content.connect.symantec.com/sites/default/files/2018-04/Orangeworm%20IOCs.pdf

dispositifs médicaux, healthcare