حمله باج افزاری به سرورهای بیمارستانی کشور خسارات جبران ناپذیری به بار آورده است

خرداد ماه امسال بود که مرکز ماهر (مدیریت امداد و هماهنگی عملیات رخدادهای رایانه ای) نسبت به تعلل کاربران و مدیران فناوری اطلاعات سازمان ها، دستگاه ها و شرکت های مختلف در زمینه رعایت توصیه های ایمنی برای پیشگیری از نفوذ باج افزار «واناکرای» هشدار داد و حالا این مرکز، از بروز حملات باج افزاری به سرورهای ویندوزی چندین سامانه بیمارستانی در کشور خبر می دهد:

در هفته های اخیر، گزارش های متعددی از حمله باج افزارها (نرم افزار مخرب باج گیر) به سرورهای ویندوزی از جمله چندین سامانه بیمارستانی در کشور واصل شده است که خسارات جبران ناپذیری به بار آورده است.

مهاجمان از طریق سرویس دسترسی از راه دور ویندوز به سرورها نفوذ کرده اند

به گفته مرکز ماهر، خلافکاران سایبری توانسته اند از طریق «سرویس دسترسی از راه دور» در سیستم عامل ویندوز که مبتنی بر پروتکل RDP است، آنتی ویروس های موجود را غیر فعال کرده و باج افزار خود را روی سیستم نصب کنند. آنها همچنین در بعضی از موارد موفق شدند با سوء استفاده از سهل انگاری کاربران سیستم ها، زمان و الگوی انجام پشتیبان‌گیری از اطلاعات را نیز شناسایی کرده و حملات گسترده ای را ترتیب دهند.

در پی این حملات، مرکز ماهر از تمامی کاربران سامانه های نرم افزاری خواسته در صورت عدم نیاز، سرویس «Remote Desktop‌» را روی سرورهای متصل به اینترنت، غیرفعال کرده و اگر ارائه این دسترسی برای آنها ضروری و غیر قابل اجتناب است، موارد زیر را به دقت رعایت کنند:

1. به روز رسانی مداوم سیستم‌ عامل و هوشیاری از احتمال رخداد حملات جدید و شناسایی آسیب پذیری های جدید.
2. انجام منظم و سخت گیرانه پشتیبان گیری از اطلاعات روی تعداد کافی از رسانه های ذخیره سازی اطلاعات و آزمایش نسخ پشتیبان پس از هر مرتبه پشتیبان گیری.
3. عدم استفاده از کاربر ادمین (Administrator) برای دسترسی از راه دور و تعریف یک کاربر جدید با دسترسی محدود شده برای این منظور.
4. تنظیم کردن سرورها به شکلی که برای ورود موفق، سقف مشخص و محدودی از تلاش های ناموفق تعیین شود، سطح قابل قبولی از پیچیدگی برای رمز عبور را الزام کرده و تغییر رمز عبور در بازه زمانی معقولی را اجبار کند.
5. در صورت امکان، محدود کردن اجازه استفاده از خدمات دسترسی از راه دور در فایروال به آدرس آی پی های مشخص و نیز ایجاد لایه های دفاعی بیشتر با تکیه بر خدماتی چون VPN.
6. محدود کردن زمان و ساعت استفاده از خدمات دسترسی از راه دور با استفاده از Group Policy Manager ویندوز. برای مثال محدود کردن دسترسی به ساعات اداری یا حتی فعال کردن دسترسی از راه دور فقط در زمان نیاز و غیر فعال کردن آن پس از رفع نیاز.
7. بررسی مداوم و روزانه گزارش های امنیتی (به ویژه گزارش مربوط به Log-in در Event-viewer ویندوز)، گزارش آنتی ویروس و فایروال، جهت آگاه شدن از مواردی چون زمان ورود هر کاربر و توجه و واکنش متناسب به موارد غیرمتعارف همچون ورود در روزها یا ساعت های تعطیل و تلاش های ناموفق بدافزارها برای دسترسی و آلوده سازی.
8. دقت مضاعف در زمان استفاده از نام کاربری و گذرواژه برای دسترسی از راه دور؛ به ویژه زمانی که برای اتصال از رایانه دیگران استفاده می شود؛ چرا که انواع Key logger از تروجان ها می توانند با دزدیدن مخفی اطلاعات تایپ شده، دسترسی مهاجمان به سرورها را ممکن کنند.

لازم به ذکر است که از جزئیات خسارت، بیمارستان های مورد هدف و مشخصات باج افزار اطلاعی در دست نیست و مرکز ماهر صرفاً از عبارت «خسارات جبران ناپذیر» برای توصیف ماجرا استفاده کرده است.