安全事件
安全事件
時(shí)間:2020-04-07瀏覽次數(shù)：
1、某地三甲醫(yī)院遭勒索病毒攻擊，導(dǎo)致系統(tǒng)全部癱瘓，醫(yī)院被勒索200萬 事件回顧 2019年6月，某地三甲醫(yī)院20臺(tái)服務(wù)器與4臺(tái)備份服務(wù)器被勒索病毒鎖死，全部業(yè)務(wù)系統(tǒng)處于癱瘓狀態(tài)，攻擊...
1、某地三甲醫(yī)院遭勒索病毒攻擊，導(dǎo)致系統(tǒng)全部癱瘓，醫(yī)院被勒索200萬
事件回顧
2019年6月，某地三甲醫(yī)院20臺(tái)服務(wù)器與4臺(tái)備份服務(wù)器被勒索病毒鎖死，全部業(yè)務(wù)系統(tǒng)處于癱瘓狀態(tài)，攻擊者勒索比特幣贖金約合200萬人民幣。
事件分析
經(jīng)過現(xiàn)場(chǎng)排查得出以下問題：
· 該醫(yī)院的服務(wù)器開啟了遠(yuǎn)程桌面，存在互聯(lián)網(wǎng)暴露；
· 所有的服務(wù)器密碼都相同，且管理員密碼存在弱口令；
· 事發(fā)半個(gè)月前，攻擊者曾經(jīng)通過遠(yuǎn)程爆破進(jìn)入了醫(yī)院的業(yè)務(wù)系統(tǒng)，拿到了管理員權(quán)限，修改了網(wǎng)絡(luò)防火墻策略，并摸清了主、備份服務(wù)器的數(shù)量和整體防御情況。
正是由于以上的問題和漏洞，攻擊者發(fā)動(dòng)了勒索攻擊，將服務(wù)器全部鎖死
2、某省衛(wèi)生專網(wǎng)遭到攻擊，58家醫(yī)院連鎖感染勒索病毒
事件回顧
2019年3月，某地三甲醫(yī)院的5臺(tái)核心服務(wù)器爆發(fā)勒索病毒，導(dǎo)致系統(tǒng)大面積癱瘓，僅幾個(gè)小時(shí)過后，全省另外的57家大、中型醫(yī)院相繼爆發(fā)勒索病毒，每家醫(yī)院都受到了嚴(yán)重的破壞，受感染服務(wù)器的數(shù)量少則3臺(tái)，多則8臺(tái)，被感染醫(yī)院網(wǎng)絡(luò)業(yè)務(wù)癱瘓，無法正常進(jìn)行接診治療。
事件分析
經(jīng)過現(xiàn)場(chǎng)排查得知，此次事件是人工投毒行為，被感染的病毒為Globelmposte家族勒索病毒，歸納為以下幾個(gè)問題：
· 第一家受感染醫(yī)院專網(wǎng)前置機(jī)因使用弱口令而被爆破，內(nèi)網(wǎng)服務(wù)器感染勒索病毒；
· 在成功感染第一家醫(yī)院后，攻擊者利用衛(wèi)生專網(wǎng)爆破3389，登陸到各醫(yī)院專網(wǎng)前置機(jī)；
· 以前置機(jī)為跳板向醫(yī)院內(nèi)網(wǎng)其它服務(wù)器爆破投毒，感染專網(wǎng)上未徹底隔離的其他57家醫(yī)院。
事件回顧
2019年6月，某地三甲醫(yī)院20臺(tái)服務(wù)器與4臺(tái)備份服務(wù)器被勒索病毒鎖死，全部業(yè)務(wù)系統(tǒng)處于癱瘓狀態(tài)，攻擊者勒索比特幣贖金約合200萬人民幣。
事件分析
經(jīng)過現(xiàn)場(chǎng)排查得出以下問題：
· 該醫(yī)院的服務(wù)器開啟了遠(yuǎn)程桌面，存在互聯(lián)網(wǎng)暴露；
· 所有的服務(wù)器密碼都相同，且管理員密碼存在弱口令；
· 事發(fā)半個(gè)月前，攻擊者曾經(jīng)通過遠(yuǎn)程爆破進(jìn)入了醫(yī)院的業(yè)務(wù)系統(tǒng)，拿到了管理員權(quán)限，修改了網(wǎng)絡(luò)防火墻策略，并摸清了主、備份服務(wù)器的數(shù)量和整體防御情況。
正是由于以上的問題和漏洞，攻擊者發(fā)動(dòng)了勒索攻擊，將服務(wù)器全部鎖死
2、某省衛(wèi)生專網(wǎng)遭到攻擊，58家醫(yī)院連鎖感染勒索病毒
事件回顧
2019年3月，某地三甲醫(yī)院的5臺(tái)核心服務(wù)器爆發(fā)勒索病毒，導(dǎo)致系統(tǒng)大面積癱瘓，僅幾個(gè)小時(shí)過后，全省另外的57家大、中型醫(yī)院相繼爆發(fā)勒索病毒，每家醫(yī)院都受到了嚴(yán)重的破壞，受感染服務(wù)器的數(shù)量少則3臺(tái)，多則8臺(tái)，被感染醫(yī)院網(wǎng)絡(luò)業(yè)務(wù)癱瘓，無法正常進(jìn)行接診治療。
事件分析
經(jīng)過現(xiàn)場(chǎng)排查得知，此次事件是人工投毒行為，被感染的病毒為Globelmposte家族勒索病毒，歸納為以下幾個(gè)問題：
· 第一家受感染醫(yī)院專網(wǎng)前置機(jī)因使用弱口令而被爆破，內(nèi)網(wǎng)服務(wù)器感染勒索病毒；
· 在成功感染第一家醫(yī)院后，攻擊者利用衛(wèi)生專網(wǎng)爆破3389，登陸到各醫(yī)院專網(wǎng)前置機(jī)；
· 以前置機(jī)為跳板向醫(yī)院內(nèi)網(wǎng)其它服務(wù)器爆破投毒，感染專網(wǎng)上未徹底隔離的其他57家醫(yī)院。
上一篇：暫無
下一篇：暫無
Copyright © 2020 江蘇國(guó)信安網(wǎng)絡(luò)科技有限公司 版權(quán)所有 備案號(hào)：蘇ICP備20019662號(hào)-1 技術(shù)支持：上海網(wǎng)站建設(shè)
地址：江蘇省蘇州市高新區(qū)泰山路2號(hào) 和楓科創(chuàng)園F座7樓707室
郵箱：service@gxanet.com
電話：0512-65205373