Selon Vectra, le nombre de vulnérabilités a considérablement augmenté dans le secteur de la santé. Les attaques sont liées à la présence de nombreux objets connectés (IoT) et aux faiblesses dans  les contrôles des accès.

Dans son rapport « Spotlight » sur les menaces informatiques ciblant le secteur de la santé, Vectra analyse  l’exposition de l’écosystème médical aux cyberattaques.

La surface d’attaque qui s’est considérablement élargie avec  la croissance du nombre d’objets connectés (IoT) utilisés, des réseaux non partitionnés, de trop faibles contrôles d’accès, et de la dépendance à des systèmes vieillissants.

«Les vulnérabilités accrues sont exploitées par des cybercriminels pour voler des informations personnelles, des informations médicales protégées, et pour perturber le fonctionnement de services médicaux» indique l’étude.

Les 5 principaux enseignements à retenir.

1- Les attaquants utilisent des tunnels HTTPS pour cacher leurs communications C&C (utilisées pour commander une attaque à distance).

Cette méthode est la plus utilisée dans le cadre d’attaques qui ciblent les organismes médicaux.

Elle repose sur une communication externe impliquant de multiples sessions sur de longues périodes de temps donnant ainsi l’impression de n’être qu’un trafic web chiffré tout à fait normal.

2- Les attaquants utilisent également couramment des tunnels DNS cachés pour dissimuler l’exfiltration de données des réseaux des structures de santé qu’ils ciblent.

D’autres comportements compatibles avec l’exfiltration de données peuvent, également, être causés par des outils informatiques et de sécurité utilisant la communication DNS.

3- Une fois infiltrés, les attaquants procèdent à la reconnaissance des réseaux, via des scans Darknet internes et l’analyse de comptes Microsoft Server Message Block (SMB).

Les scans Darknet internes se déroulent lorsque des périphériques hôtes internes recherchent des adresses IP internes qui n’existent pas sur le réseau.

De leur côté, les analyses de comptes SMB se produisent lorsqu’un périphérique hôte utilise rapidement plusieurs comptes via le protocole SMB qui est généralement utilisé pour le partage de fichiers.

4- A noter que la tendance du ransomware est à la baisse sur la période du rapport (2ème semestre 2018).

Pour un hôpital, il demeure tout de même essentiel de détecter ces attaques avant que les fichiers ne soient chiffrés et que toutes les opérations cliniques ne soient interrompues.

5 – Les attaques par Botnet sont opportunistes et n’ont pas de cibles privilégiées : bien qu’elles persistent partout, leur taux d’occurrence dans le secteur de la santé est inférieur à celui d’autres activités.