Gefälschte DICOM-Viewer Zielgerichtete Angriffe auf medizinische Einrichtungen

Anbieter zum Thema

FAST LTA GmbH

Medizinische Einrichtungen sind kontinuierlich im Visier von Cyber­kriminellen und staatlich unterstützten Angreifern. Eine aktuelle Untersuchung der Forescout Research - Vedere Labs zeigt, dass Gesundheitseinrichtungen nicht nur mit Ransomware konfrontiert sind, sondern zunehmend auch mit gezielten Angriffen auf spezifische medizinische Anwendungen und Protokolle.

In einer zweiteiligenAnalyse identifizierten Forscher zunächst eine Kampagne der chinesischen APT-Gruppe "Silver Fox", die manipulierte Philips DICOM-Viewer nutzte, um Opfersysteme mit Backdoors, Keyloggern und Krypto-Minern zu infizieren. DICOM-Viewer werden typischerweise an Patienten verteilt, damit diese ihre medizinischen Bilder auf privaten Geräten betrachten können.

Die Kampagne wurde zwischen Dezember 2024 und Januar 2025 durchgeführt, wobei 29 Samples des manipulierten Viewers "MediaViewerLauncher.exe" entdeckt wurden. Die Schadsoftware installierte ValleyRAT, eine Remote-Access-Backdoor, die Silver Fox üblicherweise einsetzt, um Kontrolle über kompromittierte Systeme zu erlangen.

IT-Sicherheit

Warum sind Hacker so heiß auf medizinische Daten?

Der Infektionsablauf ist ausgeklügelt und mehrschichtig: Nach der Installation führt der manipulierte DICOM-Viewer zunächst Systemprüfungen durch und deaktiviert Windows Defender-Schutzmaßnahmen für bestimmte Verzeichnisse. Anschließend werden verschlüsselte Payloads von einem Alibaba Cloud-Bucket heruntergeladen. Ein TrueSight-Treiber wird installiert, um Antivirensoftware zu deaktivieren, bevor ValleyRAT sowie ein Keylogger und ein Krypto-Miner installiert und über geplante Tasks persistent gemacht werden.

Die Silver Fox-Gruppe, auch bekannt als "Void Arachne", hat ihre Angriffsziele über den asiatischen Raum hinaus erweitert und konzentriert sich nun auch auf nordamerikanische Ziele.

Weiterführende Untersuchungen zu medizinischer Malware

In einer Fortsetzung der Analyse erweiterten die Forscher ihre Suche nach Malware, die sich als legitime Gesundheitsanwendungen tarnt, Zugangsdaten von medizinischen Systemen ausnutzt oder mit medizinischen Geräten über Protokolle wie DICOM und HL7 interagiert.

Diese erweiterte Untersuchung enthüllte drei signifikante Malware-Cluster:

• 1. Infizierte Siemens syngo fastView DICOM-Viewer: 19 Instanzen dieser Software wurden mit Floxif/Pioneer infiziert, einem Backdoor, das ausführbare Dateien und DLLs befällt. Diese Malware war zuvor im Jahr 2017 bekannt geworden, als sie für die Kompromittierung des CCleaner-Programms eingesetzt wurde.

• 2. Infizierte Mindray Überwachungssysteme: Eine Instanz einer Mindray Central Monitoring Station (CMS) wurde mit "Panda Burning Incense", einem chinesischen Wurm, infiziert. Besonders besorgniserregend: Die CMS kommuniziert mit Patientenmonitoren über eine IP-Adresse (202.114.4.119), die von der CISA und FDA als potenzielle chinesische Backdoor gekennzeichnet wurde.

• 3. Botnetze mit Zugriff auf GE Healthcare MUSE: Zwei Botnet-Samples wurden identifiziert, die Standardzugangsdaten für GE Healthcare MUSE Cardiology Information Systems ausnutzen. Diese Systeme verwalten kritische Patientendaten wie EKG-Messungen, was sie zu besonders sensiblen Zielen macht.

IT-Sicherheit

Wie Cyberkriminelle Gesundheitsdaten stehlen

Risiken für Gesundheitseinrichtungen

Die Forschungsergebnisse unterstreichen die vielfältigen Bedrohungen für den Gesundheitssektor. Während infizierte DICOM-Viewer zunächst Patienten betreffen, können sie als Einfallstor dienen, wenn Patienten ihre Geräte zur Diagnose in Krankenhäuser mitbringen oder im Rahmen von "Hospital-at-Home"-Programmen nutzen. Dies schafft eine neue Angriffsfläche, die über die traditionellen IT-Systeme hinausgeht.

Die mit Malware infizierte Mindray-CMS zeigt zudem, dass in Krankenhäusern teils jahrzehntealte, anfällige Systeme im Einsatz sind, die mit dem Internet verbunden sind und zahlreiche Patientenmonitore steuern. Ein kompromittiertes System kann hier direkte Auswirkungen auf die Patientenversorgung haben.

Besonders beunruhigend sind die entdeckten Botnetze, die auf GE Healthcare MUSE-Systeme abzielen. Sie verdeutlichen, wie Angreifer bekannte Standardpasswörter ausnutzen, um kritische Systeme zu identifizieren und zu kompromittieren. Da diese Systeme kardiologische Patientendaten verwalten, könnten Angreifer sowohl Zugriff auf sensible Gesundheitsinformationen erhalten als auch potenziell diagnostische Prozesse stören.

Empfehlungen für Gesundheitsdienstleister

Für eine verbesserte Abwehr empfehlen die Sicherheitsforscher mehrere Maßnahmen. Zunächst müssen Gesundheitseinrichtungen alle verbundenen Geräte identifizieren und klassifizieren, um ihre Risiken einschätzen zu können. Geräte, die nicht aktualisiert werden können, sollten entsprechend segmentiert werden, um ihre Angriffsfläche zu reduzieren.

IT-Sicherheit

Was Hacker mit medizinischen Daten anstellen

Die Kartierung von Netzwerkflüssen ist entscheidend für die Gestaltung effektiver Segmentierungszonen, die IT-, IoT-, OT- und IoMT-Geräte trennen. Dies hilft nicht nur, unbeabsichtigte externe Kommunikation zu identifizieren, sondern auch unbefugten Zugriff und laterale Bewegung im Netzwerk zu verhindern.

Eine umfassende Überwachung des gesamten Netzwerkverkehrs ist unerlässlich, da Netzwerkpakete bösartige Payloads enthalten können, die versuchen, Schwachstellen auszunutzen oder Malware auf Systeme einzuschleusen. Eine Korrelation von Netzwerk- und Endpunktsignalen ermöglicht eine schnellere und effektivere Bedrohungserkennung und -reaktion.

Nicht zuletzt sollten Krankenhäuser das Laden von Dateien von Patientengeräten auf medizinische Workstations oder andere netzwerkfähige Geräte unterbinden, um das Risiko einer Infektion durch externe Quellen zu minimieren.

IT-Sicherheit

Checkliste: So lassen sich medizinische Daten vor Kriminellen schützen

Schlussfolgerung

Die jüngsten Erkenntnisse verdeutlichen, dass Cyberbedrohungen im Gesundheitssektor weit über Ransomware hinausgehen. Besonders besorgniserregend ist, dass die Angreifer nach neuen Wegen suchen, um speziell medizinische Anwendungen und Protokolle auszunutzen. Positiv ist jedoch, dass bisher keine Malware-Samples gefunden wurden, die DICOM oder HL7 direkt missbrauchen – was für Verteidiger klinischer Netzwerke eine gute Nachricht ist. Dennoch zeigt die Untersuchung, dass medizinische Einrichtungen ihre Cybersicherheitsstrategie kontinuierlich anpassen müssen, um den sich entwickelnden Bedrohungen einen Schritt voraus zu sein.

Über den Autor: Sven von Kreyfeld ist Presales Consultant bei Forescout Technologies.

Datenschutz

Bedrohung durch Ransomware wächst: mehr Transparenz notwendig

(ID:50428329)