Ciberseguridad

Los investigadores de seguridad no pueden explicar cómo y por qué el malware ha infectado las computadoras que controlan las máquinas de resonancia magnética y rayos X en innumerables organizaciones de atención médica en todo el mundo.

Todas las infecciones, con un troyano llamado Kwampirs, se han vinculado a un grupo de hackers recién descubierto llamado Orangeworm.

Orangeworm se dirige al sector de la salud

El grupo ha estado activo desde enero del 2015, y los investigadores de seguridad dicen que el grupo ha infectado a un gran número de organizaciones en todo el mundo.

Alrededor del 40% de las víctimas son empresas del sector sanitario. Los investigadores dicen que el resto de los objetivos, a pesar de no dedicarse al sector médico, tienen vínculos con las organizaciones de salud.

Por ejemplo, Orangeworm infectó las redes de empresas en logística, agricultura, fabricación y servicios de TI, pero la gran mayoría de estas empresas prestaron servicios a organizaciones de atención médica.

Los investigadores creen que los atacantes intentaron un ataque a la cadena de suministro al infectar a un proveedor de servicios con el fin de penetrar en las redes de la organización de salud deseada.

Orangeworm no es un APT de una nación

Los investigadores dijeron que Orangeworm no encaja ni usa las tácticas, técnicas y procedimientos de un clásico APT (advanced persistent actor), aunque todavía es un APT.

La línea de pensamiento común es que Orangeworm es un pirata informático o un grupo de hackers en solitario que buscan robar información de pacientes de organizaciones sanitarias para venderla en mercados negros. Se sabe que la información del paciente almacenado en las organizaciones de salud es mucho más completa que el tipo de datos de usuario almacenados en las instituciones financieras o en cualquier otra compañía.

Según los investigadores, los atacantes nunca les preocupó ser descubiertos, utilizando métodos de movimiento lateral que se consideran anticuados y “ruidosos”.

A pesar de esto, los investigadores tardaron tres años en identificar y revelar los ataques del grupo. Los investigadores creen que un factor importante en el grupo que mantiene sus operaciones bajo el radar es el hecho de que la mayoría de las organizaciones sanitarias usan computadoras viejas, la mayoría de las cuales rara vez se actualizan, generalmente no emplean un antivirus y, por lo tanto, son fáciles de piratear.

Los atacantes usaron el mismo malware para cada ataque

Según los expertos, el grupo Orangeworm llevó a cabo ataques en un patrón similar. Infectaron una computadora y luego se propagaron a otras, infectando a cada una con Kwampirs, una herramienta que les otorgaba acceso remoto a cada host infectado.

Los atacantes propagan Kwampirs indiscriminadamente a tantos sistemas como sea posible, lo que también podría explicar por qué las computadoras utilizadas para controlar dispositivos médicos también se infectaron, como las máquinas de IRM y de rayos X. Los investigadores creen que el grupo usó Kwampirs para buscar los datos que querían.

Según un informe detallado sobre las operaciones del grupo, el grupo Orangeworm no hizo ningún esfuerzo para actualizar el malware desde sus primeros ataques, mostrando ya sea un nivel enorme de estupidez o la extrema confianza de que nunca serían atrapados.