Sanità, come gestire le vulnerabilità cyber dei monitor paziente

Il 30 gennaio 2025, il CISA e l’FDA hanno pubblicato un avviso sulle vulnerabilità critiche dei monitor paziente Contec CMS8000, tra cui una backdoor integrata e la potenziale esposizione dei dati privati dei pazienti. Si consiglia alle organizzazioni sanitarie di scollegare i monitor, ove possibile, per evitare un’ulteriore esposizione degli ambienti tecnologici e dei dati sensibili.

Data la crescente pressione sul settore sanitario per anticipare gli hacker malintenzionati e proteggere i dati sensibili dei pazienti, si consiglia ai fornitori di servizi sanitari e tecnologici di intraprendere azioni immediate per prevenire i danni. Di seguito una serie di suggerimenti su quello che le organizzazioni devono conoscere e implementare per ridurre e minimizzare i rischi.

Culnerabilità critiche nei monitor Contec cms8000: un quadro della problematica

La CISA ha dichiarato che è stato emesso un avviso per i monitor paziente Contec CMS8000, che contengono una backdoor incorporata con un indirizzo IP hard-coded verso una terza parte non associata ad alcun produttore di dispositivi medici e la capacità di trasmettere dati all’esterno senza essere rilevati tramite la porta 515 durante la routine di avvio. La backdoor inversa consente al CMS8000 di scaricare ed eseguire file remoti non verificati, compresa la sovrascrittura dei file di sistema esistenti una volta riavviato.

Il rischio è una trasmissione non autorizzata di dati del paziente, attività dannose nascoste dai registri, controllo remoto da parte di utenti non autorizzati, potenziale compromissione della rete e potenziale malfunzionamento del monitor paziente.

Le organizzazioni sanitarie, per far fronte a questo pericolo, dovrebbero ricorrere alle seguenti azioni:

• Isolare il dispositivo e posizionarlo all’interno di un segmento di rete sicuro per minimizzare l’esposizione;
• Monitorare il traffico anomalo, limitando il traffico in uscita solo alle comunicazioni interne necessarie e bloccando tutte le connessioni in entrata non necessarie, con la finalità di analizzare continuamente il traffico alla ricerca di anomalie o comportamenti sospetti;
• Restringere gli accessi al personale autorizzato con le Liste di Controllo degli Accessi (ACL);
• Considerare la sostituzione dei dispositivi: se possibile, sostituire i dispositivi interessati, data la mancanza di una patch disponibile e la mancanza di volontà di rimuovere la backdoor in una patch successiva alla CISA.

Implicazioni di sicurezza delle vulnerabilità dei monitor

Le “backdoor” nei dispositivi medici rappresentano significative vulnerabilità di cybersecurity che possono compromettere la sicurezza dei pazienti e l’integrità dei dati. Lo sfruttamento di queste vulnerabilità potrebbe consentire agli aggressori di eseguire un codice da remoto, far trapelare informazioni sensibili sui pazienti o ottenere un accesso non autorizzato al dispositivo e causarne il funzionamento improprio. Queste vulnerabilità riguardano più versioni del firmware e possono avere un impatto sugli ambienti sanitari di tutto il mondo, data la diffusione di questi monitor.

I fornitori di servizi sanitari e il personale addetto alla sicurezza informatica devono essere vigili e dare priorità agli sforzi per proteggere l’infrastruttura, i pazienti e i dati sensibili di fronte a tali allarmi. Sebbene non siano stati confermati episodi di sfruttamento pubblico, incidenti di cybersecurity o danni ai pazienti legati a queste ultime vulnerabilità, le misure di cybersecurity proattive sono fondamentali per la mitigazione del rischio nel settore sanitario, al fine di prevenire ulteriori danni.

Vulnerabilità dei monitor Contec cms8000: cosa devono sapere le organizzazioni sanitarie

Il monitor paziente CMS8000 di Contec Health è stato identificato con gravi vulnerabilità, tra cui la funzionalità nascosta di una funzione backdoor incorporata con un indirizzo IP hard-coded, CWE – 912: Hidden Functionality (CVE-2025-0626), e una funzionalità che può portare alla violazione dei dati dei pazienti, CWE – 359: Exposure of Private Personal Information to an Unauthorized Actor (CVE-2025-0683), presente in tutte le versioni analizzate.

La FDA osserva che il Contec CMS8000 può essere ri-etichettato e venduto dai rivenditori. Ad esempio, i monitor paziente Epsimed MN-120 sono monitor Contec CMS8000 ri-etichettati come MN-120. Si raccomanda di verificare l’identificativo univoco del dispositivo (UDI) per una segnalazione e un’attenuazione più accurate.

I tre rischi principali secondo la FDA

Secondo la FDA, ci sono tre rischi principali:

• Un utente non autorizzato potrebbe controllare da remoto il monitor paziente, compromettendone la capacità di funzionare come previsto.
• La backdoor può significare che il dispositivo o la rete a cui il dispositivo è stato collegato potrebbero essere compromessi.
• I monitor paziente connessi a Internet possono raccogliere i dati dei pazienti e trasmetterli al di fuori dell’ambiente sanitario.

Misure di sicurezza per ridurre i rischi

Le organizzazioni sanitarie dovrebbero implementare le seguenti misure di sicurezza per ridurre i rischi:

• Valutare il Remote Monitoring Capabilities
  • Se il Remote Monitoring non è necessario: usare solamente il monitoraggio locale. Rimuovere l’accesso a internet per evitare un’esposizione di dati continua.
  • Se il Remote Monitoring è necessario: isolare il dispositivo e posizionarlo in un segmento di rete sicuro per minimizzare l’esposizione. Considerare anche di cessarne l’utilizzo.
• Controllo delle funzionalità del monitor: osservare i segni di malfunzionamento, come le incongruenze con i parametri vitali dei pazienti, per prevenire l’impatto clinico e rilevare i tentativi di accesso remoto.
• Gestione del traffico di rete e attività: limitare il traffico in uscita alle sole comunicazioni interne necessarie, impedendo connessioni esterne non autorizzate. Analizzare continuamente le anomalie del traffico e le connessioni sospette.
• Applicare i controlli di accesso: limitare l’uso solo al personale autorizzato, garantendo un’autenticazione e una supervisione adeguate.
• Considerare la sostituzione del dispositivo o altre soluzioni alternative, data la natura essenziale dei monitor paziente e la mancanza di una patch disponibile.

Precedenti vulnerabilità CMS8000

Il 24 luglio 2024, alcuni ricercatori dell’ARPA-H hanno segnalato al CISA un grave rischio per la sicurezza degli ospedali che utilizzano dispositivi CMS8000. Lo sfruttamento di questa vulnerabilità richiede che un aggressore operi all’interno della rete ospedaliera e trasmetta due pacchetti sequenziali. In ambienti privi di un’adeguata segmentazione della rete e di controlli di accesso, l’attacco potrebbe essere eseguito tramite un broadcast UDP, portando potenzialmente alla compromissione di massa di più dispositivi CMS8000.

La vulnerabilità deriva da un controllo dei limiti insufficiente, che consente agli attori delle minacce di eseguire codice remoto e di ottenere il pieno controllo dei dispositivi interessati. Inoltre, gli aggressori possono stabilire la persistenza, mantenendo l’accesso anche dopo il riavvio del dispositivo.

Sebbene questa vulnerabilità presenti analogie con CVE-2022-38100, la sua gravità supera quella del problema precedentemente documentato. Tuttavia, non sono stati assegnati ulteriori avvisi o identificatori CVE a questa scoperta del luglio 2024. Mentre lo sfruttamento di CVE-2022-38100 provoca un arresto anomalo del dispositivo, questa vulnerabilità appena identificata consente agli aggressori di ottenere privilegi di root e di stabilire la persistenza.

Supporto tecnico per contrastare le vulnerabilità dei monitor contec cms8000

Asset discovery & risk assessment

• Identificare i dispositivi vulnerabili: è essenziale identificare rapidamente l’eventuale presenza di dispositivi impattati nel vostro ambiente. Se non si riuscisse a trovare il dispositivo, potrebbe apparire come un PC Contec o essere elencato con un nome generico del produttore. Verificare la posizione, le convenzioni di denominazione o verificare fisicamente gli ID dei dispositivi.
• Punteggio di rischio contestuale: assegnare un punteggio di rischio in base alle vulnerabilità, alle minacce note e al comportamento del dispositivo, compresi l’uso clinico e il contesto.
• Politiche di sicurezza automatizzate: identificare le attività associate ai dispositivi in esame che comunicano con un IP esterno sulla porta 515, stabilire il controllo dell’accesso tramite connessioni IP e isolare il dispositivo per impedire l’invio di traffico all’esterno.

Threat detection & monitoring

• Rilevamento di comportamenti anomali: monitorare l’attività dannosa generata dagli asset, compresa quella associata allo scambio di dati sensibili e alle connessioni di rete a indirizzi IP insoliti.
• Monitoraggio del traffico di rete: identificare i picchi di traffico o i domini sconosciuti o sospetti o gli IP esterni stranieri per identificare e intercettare continuamente potenziali compromissioni.

Segmentazione e raccomandazioni sul controllo degli accessi

• Zero Trust Enforcement: creare liste di controllo degli accessi e strategie di segmentazione della rete che possono essere utilizzate per isolare i dispositivi interessati, come i monitor paziente Contec, e limitare la possibilità di avviare comunicazioni backdoor.
• Blocco delle comunicazioni non necessarie: le integrazioni con soluzioni NAC, firewall e EDR limitano gli accessi non autorizzati da risorse compromesse e le connessioni a destinazioni esterne non approvate.

Early Warning Intelligence per prevenire un attacco

• Early warning feed: sfrutta le informazioni sulle minacce in tempo reale per avvisare le organizzazioni dei tentativi di exploit attivi o delle campagne di attori minacciosi che hanno come obiettivo l’assistenza sanitaria.
• Alert proattivi: notifica i team di sicurezza prima che un exploit venga utilizzato come arma nel loro ambiente.

Protezione proattiva contro le vulnerabilità dei monitor Contec cms8000

Per garantire la sicurezza dei pazienti e dei dati sanitari sensibili, le organizzazioni sanitarie devono agire tempestivamente per ridurre i rischi associati a dispositivi come il Contec CMS8000. Nel breve termine, le organizzazioni sanitarie dovrebbero scollegare i dispositivi interessati dalle reti e monitorare attentamente le anomalie. Tuttavia, questa risposta reattiva non è sostenibile. Sostituire i dispositivi medici non è facile ed è spesso considerata spesso come ultima risorsa. Le organizzazioni sanitarie dovrebbero avvalersi di soluzioni avanzate con monitoraggio in tempo reale, applicazione proattiva e feed di early warning intelligence sulle minacce per prevenire impatti più ampi e salvaguardare i servizi sanitari. Affrontare in modo proattivo queste vulnerabilità e consentire una risposta rapida alle minacce emergenti aiuterà a sostenere la fiducia, a mantenere l’integrità clinica e a proteggere le cure dei pazienti da ciò che accadrà.