Az egészségügyi szolgáltatók folyamatos fájlcserékre támaszkodnak, amelyek gyakran védett egészségügyi információkat (PHI) tartalmaznak. Az ilyen fájlok a teszteredményektől és orvosi képektől kezdve a számlázási adatokig vagy a beszállítói jelentésekig terjedhetnek, és partnerek és helyszínek közötti átvitelük létfontosságú a betegellátáshoz. De vonzó célpontokat is jelentenek a támadók számára. A HIPAA Journal arról számol be, hogy csak 2024-ben az egészségügyi incidensek több mint 237 millió betegadatot hoztak nyilvánosságra, olyan incidensek, mint a Change Healthcare támadása, 190 millió embert érintettek. Újabban az Episource és az AMEOS elleni incidensek megmutatták, hogyan terjedhetnek át a feltört fájlok és a partnerkapcsolatok az egész hálózaton.
Fájlátvitel, mint elsődleges támadási vektor
Ennél az európai egészségügyi szolgáltatónál naponta több ezer adatátvitel zajlott le az elavult SFTP- és SMB-megosztásokon keresztül, minimális ellenőrzés mellett. A fájlokat átvitel közben titkosították, de beérkezéskor ritkán vizsgálták meg alaposan; csupán egyetlen víruskereső ellenőrzésre támaszkodtak, amely nem volt képes felismerni zero-day kifinomult vagy zero-day . Ennek eredményeként veszélyes biztonsági rés keletkezett: az érzékeny betegadatok és az operatív rendszerek akár egyetlen, megbízható partnertől származó rosszindulatú fájl miatt is veszélybe kerülhettek.
A külső partnerek által feltöltött adatokon túl egy másik fő probléma a szolgáltató alapvető egészségügyi információs rendszere (HCIS) volt. Naponta nagy mennyiségű klinikai és működési adatot kellett továbbítani a kereskedelmi partnereknek, de ezek a folyamatok is automatizálás és biztonsági ellenőrzések nélkülözték az adatfolyamokat, így ugyanazokkal a kockázatokkal voltak kitéve.
A HIPAA és a GDPR megfelelőségi követelményei újabb sürgősségi réteget jelentettek: minden észleletlen rosszindulatú fájl nemcsak biztonsági kockázatot, hanem potenciális szabályozási hiányosságot is jelentett. Az eredmény egy olyan környezet volt, ahol a fájlfolyamokat alapértelmezés szerint biztonságosnak feltételezték, a valóságban azonban továbbra is ki voltak téve a fejlett kiberfenyegetéseknek. Ez a hiányosság kockázatnak tette ki a betegek adatait, a pénzügyi adatokat és a kritikus operációs rendszereket, aláhúzva a mélyebb, fájlszintű ellenőrzés sürgős szükségességét.
A kimutathatatlan észlelése
Amikor MetaDefender Managed File Transfer MFT)™ (MFT) technikai értékelés során bevezetésre került, az egészségügyi szolgáltató összekapcsolta azt a meglévő SFTP és SMB mappáival. A koncepció igazolásának folyamata során MetaDefender Managed File Transfer MFT) automatikusan elindított egy biztonságos fájlátviteli és ellenőrzési munkafolyamatot az elmúlt két hétben tárolt fájlokra.
A váratlan esemény akkor történt, amikor a rendszer eljutott egy olyan fájlhoz, amelyet éppen az előző nap töltek fel. Az „Accounting_Report_Q1.doc” névre keresztelt, egy megbízható beszállító által beküldött fájl már korábban is átment a szervezet víruskeresőjén anélkül, hogy riasztást váltott volna ki. Amikor azonban a fájlt MetaDefender Managed File Transfer MFT) automatizált munkafolyamatai feldolgozták, és az integrált Sandboxkörnyezetben elemezték, kiderült valódi rosszindulatú jellege.
sandbox mellett Multiscanning Metascan™ Multiscanning – amely egy OPSWAT , és több mint 30 kártevőellenes motort egyesít egyetlen, hatékony biztonsági rétegbe – egyidejűleg keresztellenőrizte a fájlt. Megerősítette, hogy nem tartalmazott ismert szignatúrákat, ami alátámasztotta azt a következtetést, hogy valóban egy zero-day van szó.
A nyomozás 3 lépése
1. Kezdeti viselkedés
A dokumentum normálisnak tűnt a felhasználó számára, de a viselkedése más történetet mesélt.
- Obfuszkált JavaScript dekódolt shellkód közvetlenül a memóriában
- Gyanús folyamatlánc indult: winword.exe → cmd.exe → powershell.exe (Base64 parancs)
- A fájl kimenő HTTPS-kapcsolatokat kísérelt meg egy szokatlan IP-címhez.
- Letöltött egy második fázisú hasznos adatot (zz.ps1)
- Megpróbálta felsorolni a rendszer részleteit és ideiglenes könyvtárakba írni.
2. Rejtett vészjelzések
A hagyományos statikus vizsgálatok mindezt figyelmen kívül hagyták. Makrók, ismert aláírások és a fájlszerkezetben láthatóan rosszindulatú elemek hiányában a fenyegetés láthatatlan maradt volna. MetaDefender adaptív elemzése azonban egyértelmű vörös zászlókat jelzett:
- DLL injektálási minták
- Folyamatüregesítés
- Parancs- és vezérlőjelző viselkedés
3. Ítélet és válasz
A következtetés: egy magas kockázatú, zero-day dropper.
MetaDefender Managed File Transfer MFT) ezután automatikusan karanténba helyezte a fájlt, letiltotta a jelzett IP-cím felé irányuló kimenő forgalmat, és elkészített egy teljes sandbox az IOC-kkel (kompromittáltsági mutatókkal). Ezeket az IOC-ket megosztották a SOC-val (Biztonsági Műveleti Központ) a további nyomozás céljából, és frissítették a szabályzatokat, hogy a jövőbeli fájlátvitelek során elszigeteljék a hasonló fenyegetéseket.
Erősebb védelem kiépítése
A felfedezés révén kiderült, hogy napok óta észrevétlenül maradtak rosszindulatú fájlok a megosztott mappákban, ami elfogadhatatlan kockázatot jelentett egy betegadatokat kezelő környezetben.Managed File Transfer MetaDefender Managed File Transfer MFT) bevezetésével minden partneri átvitel többszintű ellenőrzés alá került:
MetaDefender Aether™
MetaDefender a kártevőelemző folyamatot használja a gyanús fájlok valós idejű futtatására és megfigyelésére, és kiszűri azokat zero-day , amelyek kijátszák a statikus védelmi rendszereket.
Metascan™ Multiscanning
Metascan™ Multiscanning több mint 30 motort használ mind az ismert, mind az újonnan felmerülő fenyegetések észlelésére.
File-Based Vulnerability Assessment
A futtatás előtt azonosítja a telepítők, firmware és csomagok hibáit.
Kitörés megelőzése
Folyamatosan elemzi a tárolt fájlokat, és a legújabb fenyegetésfelderítési adatbázist használja a gyanús fájlok észlelésére és karanténba helyezésére, mielőtt azok elterjednének.
Ugyanakkor MetaDefender Managed File Transfer MFT) egy szabályalapú rendszerbe központosította az összes fájlátvitelt. Minden fájl, felhasználói művelet és átviteli feladat naplózásra került, így egyértelmű ellenőrzési nyomvonalak jöttek létre, amelyek most aktívan támogatják a HIPAA és a GDPR előírásainak való megfelelést. Az RBAC (szerepköralapú hozzáférés-vezérlés) és a felügyelői jóváhagyási munkafolyamat korlátozta, hogy ki férhet hozzá az érzékeny fájlokhoz, míg a biztonságos, szabályalapú automatizálás csökkentette a manuális ráfordítást.
Működési hatás és tanulságok
A zero-day fordulópontot jelentett. A korábbi, egymotoros víruskeresést Multiscanning OPSWAT Multiscanning váltotta fel, sandbox kötelezővé vált minden harmadik féltől származó fájlátvitel esetén, és a járványmegelőzés alapértelmezés szerint bekapcsolásra került. A biztonsági csapatok átláthatóságot nyertek minden adatcserére vonatkozóan, a megfelelőségi felelősök ellenőrizhető naplófájlokat kaptak, és a betegadatok védelme az egész ökoszisztémában javult.
A legfontosabb azonban az, hogy a szervezet egy alapvető tanulságot vont le: még a jó szándékú partnerek is tudatukon kívül veszélyes fájlokat továbbíthatnak. Azzal, hogy a szolgáltató sandboxing a fájlok alapos ellenőrzését közvetlenül beépítette az átviteli munkafolyamatba, a reaktív biztonsági megközelítésről áttért a proaktív megelőzésre.
Klinikai munkafolyamatok védelme a következők révén: Secure Fájlátvitel
A MetaDefender Managed File Transfer MFT) és Sandbox már a fájlátvitel védelmi vonalát képezik, az egészségügyi szolgáltató jelenleg azt vizsgálja, hogyan terjesztheti ki ezt a réteges biztonsági modellt további munkafolyamatokra is, beleértve a webes feltöltéseket és a részlegek közötti adatmegosztást. A cél nem csupán a szabályozási előírásoknak való megfelelés, hanem annak biztosítása is, hogy minden fájl – függetlenül attól, honnan származik – ellenőrzött, tiszta és biztonságos legyen, mielőtt bekerül a klinikai környezetbe.
A megoldás nemcsak a fájlcsere biztonságát erősítette, hanem lehetővé tette a kórház számára a biztonságos fájlátvitel szabályzatalapú útvonalának automatizálását is, biztosítva, hogy az érzékeny adatok megbízhatóan és időben mozogjanak.
A hagyományos eszközökkel ellentétben, amelyek csak az átviteli csatornát védik, OPSWAT biztosítja mind a fájlt, mind az adatfolyamot. Ez a különbség döntőnek bizonyult, és most központi szerepet játszik a szolgáltató hosszú távú kiberbiztonsági stratégiájában.
Védje meg fájljait, mielőtt a rosszindulatú tartalom elérné a hálózatát. Csatlakozzon egy OPSWAT szakértő ma.
