與其他關(guān)鍵信息基礎(chǔ)設(shè)施行業(yè)不同，醫(yī)療衛(wèi)生系統(tǒng)更關(guān)系到人們的生命安全。醫(yī)療行業(yè)的特殊性質(zhì)也使得它們成為攻擊者關(guān)注的重點(diǎn)，黑產(chǎn)團(tuán)隊(duì)將成千上萬病人病例、藥方、學(xué)術(shù)報(bào)告等重要醫(yī)療衛(wèi)生資料通過惡意計(jì)算機(jī)病毒加密成一個(gè)不可查看文件，并以此勒索醫(yī)院，交贖金還原文件，以此獲得豐厚的回報(bào)。常見的攻擊方式有勒索病毒、APT攻擊、漏洞利用等。今天小編根據(jù)近期典型的針對(duì)醫(yī)療衛(wèi)生行業(yè)的勒索攻擊案例，為大家介紹幾種對(duì)醫(yī)療行業(yè)常見的攻擊手段，提供給醫(yī)療衛(wèi)生從業(yè)者和公眾參考，引起警惕從而采取必要的措施避免威脅的影響。

1.針對(duì)CT機(jī)的攻擊

某市中心醫(yī)院的一臺(tái)CT機(jī)，不定時(shí)的發(fā)生藍(lán)屏重啟現(xiàn)象，在對(duì)流量進(jìn)行還原過程中，發(fā)現(xiàn)攻擊者對(duì)該CT機(jī)網(wǎng)段進(jìn)行了流量嗅探和分析。通過研判，發(fā)現(xiàn)多個(gè)主機(jī)針對(duì)該CT機(jī)的445端口進(jìn)行訪問，并建立IPC連接，其被攻擊者使用“永恒之藍(lán)”MS17-010高危漏洞發(fā)起攻擊，且此前主機(jī)存在數(shù)個(gè)病毒文件，如勒索軟件、木馬等。運(yùn)維人員已對(duì)該CT機(jī)進(jìn)行備份處置。

2.入侵客服服務(wù)器

某大學(xué)某醫(yī)院遭受未知勒索軟件攻擊，根據(jù)對(duì)內(nèi)網(wǎng)已知中勒索的服務(wù)器進(jìn)行日志分析，最終定位到源頭機(jī)器為客服服務(wù)器，并且該機(jī)器上存在攻擊者上傳的Mimikatz及抓密碼的記錄，在所有中招機(jī)器中發(fā)現(xiàn)被加密文件后綴格式為：*. -XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX，并留有勒索文本至服務(wù)器內(nèi)，勒索軟件名為Attention。

3.弱口令登陸外網(wǎng)服務(wù)器

某醫(yī)院遭受GandCrab攻擊，經(jīng)過排查分析發(fā)現(xiàn)源頭為對(duì)外開放的服務(wù)器，被黑客通過該服務(wù)器弱口令遠(yuǎn)程登錄，并獲取到192.168網(wǎng)段服務(wù)器的遠(yuǎn)程登錄權(quán)限，隨后利用該服務(wù)器對(duì)內(nèi)網(wǎng)服務(wù)器進(jìn)行IPC暴力破解，在將大量設(shè)備的權(quán)限獲取完畢后，投放勒索病毒。

4.勒索Linux服務(wù)器

某醫(yī)藥公司感染Satan勒索病毒，通過對(duì)系統(tǒng)文件、進(jìn)程及日志等分析，發(fā)現(xiàn)其Linux服務(wù)器被攻擊者通過PUT方式上傳了satan.jsp文件，使用的為Apache Tomcat 遠(yuǎn)程代碼執(zhí)行漏洞（CVE-2017-12615）。對(duì)被加密的文件進(jìn)行排查，被加密文件后綴為.satan_pro，且加密釋放的特征文件為.conn、.crypt和.Ssession，確定為Linux版本的Santan勒索病毒變種Lucky。

5.加密域控主機(jī)

某藥業(yè)公司，內(nèi)網(wǎng)出現(xiàn)大量勒索病毒有橫向傳播的跡象，域控已被加密。排查后發(fā)現(xiàn)終端被植入勒索病毒加密后綴為：.Rabbit4444，通過查找在 C:\User\xxxx\AppData\Local 下發(fā)現(xiàn)加密模塊程序：Rabbit4444.exe ，確認(rèn)是 Globelmposter 勒索病毒。

6.密碼爆破入侵外網(wǎng)主機(jī)3389端口

某醫(yī)學(xué)檢驗(yàn)公司遭受Globelmposter勒索軟件攻擊，攻擊者首先通過爆破外網(wǎng)xxxx:3389遠(yuǎn)程登陸成功后（即成功登錄10.x.x.x內(nèi)網(wǎng)地址），利用其地址作為跳板機(jī)，對(duì)其內(nèi)網(wǎng)地址進(jìn)行大量的IPC爆破，爆破成功后，通過登錄RDP進(jìn)行投毒，投毒后將其樣本清除，并繼續(xù)爆破下一臺(tái)主機(jī)或虛擬機(jī)。此外多個(gè)衛(wèi)生院，衛(wèi)健局/委，以及多個(gè)醫(yī)院，均被使用上述模式入侵成功，同樣被投放一樣的勒索軟件。

除此之外，通過OA服務(wù)器入侵、通過VPN帳號(hào)弱口令爆破入侵（某衛(wèi)生健康委員會(huì)，多臺(tái)業(yè)務(wù)服務(wù)器被Crysis勒索軟件加密）、定向攻擊也常見的勒索手段。鑒于許多醫(yī)療衛(wèi)生行業(yè)的網(wǎng)絡(luò)安全防護(hù)措施并未健全，人員的安全意識(shí)的有待加強(qiáng)，因此在被定向攻擊的時(shí)候，往往造成不可挽回的損失。

由于醫(yī)院的自身特點(diǎn)，醫(yī)院、藥業(yè)、醫(yī)療器械公司等為了滿足醫(yī)療數(shù)據(jù)長期存儲(chǔ)要求、預(yù)防數(shù)據(jù)病毒等，需要建立統(tǒng)一、安全、可靠的存儲(chǔ)空間，實(shí)現(xiàn)醫(yī)療數(shù)據(jù)的長期、低成本、集中存儲(chǔ)。北京金萬維公司的備無憂，通過完善的數(shù)據(jù)備份系統(tǒng)有效提高信息系統(tǒng)的整體安全，針對(duì)醫(yī)療行業(yè)數(shù)據(jù)，提供個(gè)性化的備份方案，不懼勒索攻擊，有效杜絕因數(shù)據(jù)丟失而導(dǎo)致的業(yè)務(wù)中斷或經(jīng)濟(jì)損失等。

備無憂具有數(shù)據(jù)可用性保障、多賬套自動(dòng)備份、預(yù)防數(shù)據(jù)病毒、無需專業(yè)人員維護(hù)等優(yōu)勢(shì)。

備無憂通過集中管理、集中備份等措施，提高數(shù)據(jù)的安全性，降低存儲(chǔ)成本實(shí)現(xiàn)數(shù)據(jù)云端存儲(chǔ)；

3+1模式的有效數(shù)據(jù)，實(shí)現(xiàn)更長的歷史存儲(chǔ)，為用戶發(fā)現(xiàn)問題、解決問題提供更長的時(shí)間同期和恢復(fù)時(shí)間；

對(duì)數(shù)據(jù)備份/恢復(fù)/下載/檢測(cè)，全過程所有結(jié)果通過微信進(jìn)行提醒，無打擾更方便；

“云+端”的模式實(shí)現(xiàn)數(shù)據(jù)備份/恢復(fù)的WEB化管理，無需專業(yè)人員，四步操作即可完成備份/恢復(fù)；

專業(yè)的智能客服平臺(tái)“幫我吧”為備無憂提供了可靠的多渠道響應(yīng)與服務(wù)平臺(tái)，可以安全有效的將數(shù)據(jù)備份為醫(yī)療單位信息化保駕護(hù)航。