PlugX: Cum au spionat chinezii companii farmauceutice

Programul malware PlugX a fost detectat în organizații farmaceutice din Vietnam, unde urmărea să fure formule de medicamente și informații de business.

Programul malware PlugX este un cunoscut instrument de acces de la distanță (RAT). Răspândit de obicei prin spear-phishing, a fost detectat anterior în atacuri direcționate împotriva unor organizații militare, guvernamentale și politice. Acest RAT a fost folosit de mai multe grupuri vorbitoare de limbă chineză, printre care Deep Panda, NetTraveler sau Winnti. În 2013, s-a descoperit că ultimul dintre acestea – responsabil pentru atacarea companiilor din industria de jocuri online – folosea PlugX din mai 2012. Foarte interesant, Winnti a participat și la atacuri împotriva companiilor farmaceutice, cu scopul de a fura certificate digitale de la producătorii de echipamente medicale și software.

PlugX RAT le permite atacatorilor să realizeze mai multe acțiuni rău intenționate pe un sistem, fără permisiunea utilizatorului, inclusiv copierea și modificarea fișierelor, înregistrarea tastelor apăsate de utilizator, furtul de parole și realizarea de capturi de ecran cu activitatea acestuia. PlugX, la fel ca alte instrumente RAT, este folosit de infractorii cibernetici pentru a fura discret informații sensibile sau din care se pot face bani.

Utilizarea RAT în atacuri împotriva organizațiilor farmaceutice arată că grupurile APT avansate manifestă un interes tot mai mare pentru sectorul de sănătate.

Produsele Kaspersky Lab detectează și blochează programul malware PlugX.

„În organizațiile medicale, informațiile private și confidențiale migrează de pe hârtie în format digital”, spune Yury Namestnikov, security researcher la Kaspersky Lab. „Având în vedere că securitatea infrastructurii rețelei în acest domeniu este uneori neglijată, vânătoarea de către APT-uri a informațiilor despre dezvoltarea medicamentelor și a echipamentelor ar trebui să tragă un semnal de alarmă. Detecțiile de malware în organizațiile farmaceutice demonstrează că mai avem încă o bătălie de dus - și de câștigat – cu infractorii cibernetici.”

Alte concluzii importante pentru anul 2017, rezultate în urma cercetării:

• Peste 60% dintre organizațiile medice au avut programe malware pe serverele sau computerele lor;
• Filipine, Venezuela și Thailanda sunt pe primele locuri în lista cu țările care au avut dispozitive din organizații medicale atacate.

Pentru a rămâne protejate, experții Kaspersky Lab le recomandă companiilor să ia următoarele măsuri:

• Să îndepărteze toate nodurile care procesează informații medicale din zona publică și să asigure portalurile web publice;
• Să actualizeze automat programele instalate, folosind sisteme de management al patch-urilor pe toate nodurile, inclusiv pe servere;
• Să facă o segmentare a rețelei și să nu conecteze echipamentele scumpe la principalul LAN al organizației;
• Să folosească o soluție de securitate corporate testată, împreună cu tehnologii împotriva atacurilor direcționate și informații despre amenințări, cum este soluția Kaspersky Threat Management and Defense. Acestea pot să detecteze și atacurile direcționate, prin analiza anomaliilor din rețea, și le dau echipelor de securitate cibernetică vizibilitate totală asupra rețelei. De asemenea, permit automatizarea reacției imediate în cazul unui incident.