Les cyber-Avengers protégeant les hôpitaux contre les ransomwares

L’incident tchèque a clairement montré à Zaidenberg que ses craintes étaient justifiées. Israël était en train de se verrouiller et il savait qu’il aurait bientôt beaucoup de temps libre. Il savait également que ses compétences en cybersécurité pourraient aider à prévenir des attaques comme celle de la République tchèque. Après tout, il surveillait déjà les menaces liées aux virus pour le travail. Et s’il y avait un moyen de faire évoluer cela à l’échelle mondiale, un moyen d’alerter les hôpitaux – n’importe quel hôpital, n’importe où – qu’ils pourraient être vulnérables, avant une attaque s’est produite?

Ce même jour Zaidenberg a remarqué que Nate Warfield, un responsable de la sécurité de Microsoft qu’il avait récemment rencontré, tweetait exactement à propos de la même chose. «En tant que professionnels de l’Infosec, nous avons des compétences et des outils que nos collègues qui soutiennent le domaine médical n’ont peut-être pas», écrit Warfield. «Je vous encourage tous à faire ce que vous pouvez dans vos communautés et régions pour les défendre.» Zaidenberg lui a immédiatement envoyé un message. Il a lancé l’idée de recruter un groupe de chercheurs sur les cybermenaces pour travailler, bénévolement, à évaluer les menaces liées au virus.

Warfield a répondu moins d’une minute plus tard: «Je participerais absolument.»

Warfield, qui a Des avant-bras épais et tatoués et une énorme barbe rousse s’étaient rendus à Tel-Aviv depuis son domicile de Seattle en février. Là, il a parlé d’une vulnérabilité récemment découverte dans un matériel appelé Netscaler, qui permet de répartir le trafic Web sur plusieurs serveurs. Cette vulnérabilité a exposé des dizaines de milliers d’entreprises à des attaquants distants. Après avoir vu les nouvelles de la République tchèque, il s’est demandé si des Netscalers non corrigés fonctionnaient sur les réseaux hospitaliers. Il a ouvert Shodan, un moteur de recherche pour les appareils connectés à Internet, et a lancé une requête pour Netscalers, associée au mot-clé «santé». Six noms de réseaux de soins de santé différents sont apparus.

«Oh non,» pensa-t-il.

Cette nuit-là, il a effectué une recherche plus ciblée, à la recherche de Netscalers supplémentaires non corrigés, en analysant tous les mots-clés liés aux soins de santé auxquels il pouvait penser: «médical», «médecin», «hôpital». Il a également recherché d’autres vulnérabilités, dont une découverte quelques jours auparavant, qui pouvait voyager de machine en machine, laissant les attaquants libérer leur propre code sur les ordinateurs exécutant Windows 10. Le lendemain, il avait trouvé 76 Netscalers non corrigés et plus de 100 autres vulnérabilités dans les établissements de soins de santé partout aux États-Unis. Il a reconnu les noms de certains des plus grands hôpitaux du pays. L’un en particulier semblait sauter de l’écran – son propre réseau de médecins exploitait un Netscaler exposé. «Quand c’est votre propre médecin qui est à risque, c’est effrayant», dit Warfield. « C’est à ce moment-là que ça a vraiment frappé. »

Warfield a passé près de 45 minutes à essayer de trouver comment contacter l’équipe de sécurité informatique du réseau de son médecin. Enfin, il a trouvé son chemin vers la page LinkedIn de quelqu’un qui semblait y travailler et a envoyé un message, entassant qui il était et le problème qu’il avait trouvé dans la limite de 1900 caractères et espérant qu’il ne ressemblait pas à un escroc. Comme il s’y attendait, il n’a jamais entendu de retour.

«Ce n’est pas une manière efficace de faire cela», réalisa Warfield. « Je ne pourrai jamais contacter toutes ces personnes. »

Juste avant que Zaidenberg ne lui envoie un message, Warfield a envoyé sa liste de vulnérabilités à Chris Mills, un de ses collègues chez Microsoft. Il espérait que Mills aurait une meilleure idée de la façon d’entrer en contact avec les hôpitaux. En fait, Mills connaissait des gens du Centre de partage et d’analyse des informations sur les soins de santé, ou ISAC. Un ISAC est un organisme à but non lucratif indépendant qui surveille et partage les menaces spécifiques à des secteurs particuliers de l’économie – le résultat d’un effort du gouvernement fédéral il y a deux décennies pour que les grandes industries comprennent mieux les risques auxquels elles sont confrontées. Aujourd’hui, il existe des ISAC pour tout, du monde du divertissement au secteur de la vente au détail en passant par l’industrie maritime.

Mills pensait que l’ISAC saurait comment contacter les bonnes personnes dans les bons hôpitaux. En passant la liste, Zaidenberg a créé un groupe Slack pour ce qu’il avait décidé de nommer la Cyber ​​Threat Intelligence League. Quelques jours plus tard, Warfield a envoyé un message à un groupe de chercheurs en sécurité de confiance auxquels il appartenait, appelé les Roadhouse Miscreant Punchers pour voir si quelqu’un d’autre voulait se joindre à leurs efforts. Mills et Zaidenberg faisaient également passer le mot et ont rapidement fait appel à Marc Rogers, un expatrié britannique qui supervise la cybersécurité au sein de la société de gestion d’identité basée sur le cloud Okta. Rogers dirigeait des opérations de sécurité chez Defcon, l’une des plus grandes conventions de piratage au monde, au cours de la dernière décennie et semblait connaître à peu près tout le monde dans le monde de la cybersécurité.