年度盘点 | 2020重大网络安全事件 · 医疗&教育篇

医疗卫生系统关系到人们的生命安全，其安全状况不容漠视。医疗行业面临的最常见的威胁包含勒索软件和数据泄露，受疫情影响，本年度医疗行业遭到的 APT 攻击呈现激增态势。有数据显示，自2020年11月以来，随着全球新冠疫情的反弹，针对医疗机构的网络攻击激增了45%，远高于同期针对其他行业的攻击。

2020年3月，国外安全厂商披露一起疑似 Silence 针对西欧制药和制造业公司的攻击活动，攻击者使用了 Silence 和 TA505 的工具。此次攻击始于2020年1月下旬，至少有两家来自比利时和德国的公司受影响。经研究人员分析，攻击者除了部署两种 Silence 恶意软件外，可能还部署了另外两个可执行文件，一个 LPE 漏洞利用的 exe 文件，一个使用 TA505 工具压缩的 Meterpreter 模块。

参考链接：

密歇根州立大学受到 NetWalker 勒索软件的攻击，攻击者威胁说，如果大学在7天之内不支付赎金或选择从备份中恢复，便会将窃取的文件泄漏到该组织在暗网中运行的特殊网站上。作为攻击的证明，NetWalker 勒索软件操作员已在泄漏站点上共享了五张图像，包括两张据称是该大学网络的目录结构图、学生的护照扫描件和两张密歇根州财务文件的图像。

参考链接：

据英国国家网络安全中心（NCSC）和加拿大通信安全机构（CSE）评估，2020年，APT29 团伙使用名为 WellMess 和 WellMail 的自定义恶意软件针对全球许多目标发起攻击。攻击目标包括加拿大、美国和英国参与 COVID-19 疫苗开发的各个团队/企业，目的疑似是窃取与 COVID-19 疫苗开发和测试有关的信息和知识产权。

参考链接：

https://www.ncsc.gov.uk/news/advisory-apt29-targets-covid-19-vaccine-development

2020年8月，Group-IB 发现了一个新的犯罪团伙 OldGremlin 对俄罗斯医疗公司发起了攻击，攻击者加密了俄罗斯医疗公司的整个计算机网络，并索要50000美元的赎金。在攻击的最初阶段，攻击者冒充媒体控股公司 RBC 的财务部门发送鱼叉邮件。攻击中使用了一种名为 TinyNode 的自定义恶意软件，该后门可以下载并启动其他恶意软件。获得最初的控制权限后，攻击者会使用 Cobalt Strike 进行横向移动，最终获得域管理员登录账号。同时创建一个具有相同特权的其他账户，以防主账户无法继续登录。攻击者在了解组织结构以后，将删除受害者的数据备份。之后在周末的短短几个小时，便将勒索软件 TinyCryptor 传播到企业网络上的数百台计算机上。

参考链接：

https://www.group-ib.com/blog/oldgremlin

德国杜塞尔多夫一家大型医院遭到网络攻击，医院系统崩溃，导致一名需要紧急入院的妇女被迫转至另一座城市，治疗因此推迟了一个小时，最终导致患者死亡。北莱茵威斯特法伦州司法部长的一份报告显示，该病毒感染了医院网络上的30台服务器，并且在其中一个系统上发现了勒索信息。赎金记录包括与攻击者联系的详细信息，但不包含任何金额。杜塞尔多夫执法部门联系了攻击者，并告知攻击者被勒索的不是大学而是医院，并且已经危及了患者。然后，攻击者决定撤回勒索企图，并提供了一个数字密钥来解密数据。检察官针对涉嫌不明肇事者展开调查，怀疑涉嫌过失杀人罪。

黑客对瑞士的几所大学进行了鱼叉式网络钓鱼攻击，企图欺骗其员工提供个人数据。据 SonntagsZeitung 报道，巴塞尔公共检察官办公室证实了黑客直接利用被盗的个人数据渗透到了大学系统中，并更改了员工的工资支付帐户。黑客盗走了6位数的资金，并立即将资金转移到国外。SonntagsZeitung 报道说，同样是攻击目标的苏黎世大学已经阻止了这次袭击，因为其员工已经意识到了网络钓鱼的企图。

自9月中旬以来，Malwarebytes 研究人员观察到伊朗 APT 组织 Silent Librarian，也称为 TA407 和 COBALT DICKENS，针对全球范围内的学校和大学发起鱼叉式网络钓鱼攻击。据研究人员称，该组织的恶意攻击活动已经持续了近两年，由于新冠肺炎疫情得以控制，学校复课，该组织的攻击激增。Silent Librarian 通过钓鱼将受害者定向到克隆的大学登录门户链接或 HTML 附件，这些门户网站合并了被盗的学校品牌信息，准确的街道地址和其他社交工程技术，以诱导用户输入登录凭据。

https://blog.malwarebytes.com/malwarebytes-news/2020/10/silent-librarian-apt-phishing-attack/

感恩节前一天，巴尔的摩县公立学校系统遭到勒索软件攻击，其所有网络系统被关闭。这次网络攻击导致115000名在线上课的学生停课两天。事件调查已在进行中，但学校和警方没有透露任何细节，目前尚不清楚是否发生信息泄露。

# 2020全球重大网络安全事件盘点·能源篇

# 2020全球重大网络安全事件盘点·互联网篇

# 2020全球重大网络安全事件盘点·工控篇

# 2020全球重大网络安全事件盘点·政府篇

“2020全球重大网络安全事件盘点·疫情篇”将于下期发布，敬请持续关注。