PA nel mirino degli hacker: il caso dell’Ospedale di Alessandria

In questo periodo sentiamo parlare spesso di hacker e servizi pubblici bloccati. Questo ovviamente in aggiunta ai sempre più diffusi attacchi alle multinazionali ed i colossi dell’informatica.

Come mai gli hacker hanno dirottato la loro attenzione alle pubbliche amministrazioni? Come è cambiato il mercato del buon “vecchio sano” hacking?

Data breach in sanità, disservizi e impatti sulla salute: cosa devono fare gli ospedali

Gli obiettivi degli attacchi

Negli anni, gli hacker con ideali personali o di piccoli gruppi sono diventati vere e proprie organizzazioni. Ci sono veri e propri gruppi societari che collaborano per sferrare i cosiddetti attacchi.

Il più delle volte gli attacchi hanno l’obiettivo di chiedere subito un riscatto. Per fare questo usano il metodo che più danneggia un ente e cioè la cifratura dei dati e l’eliminazione di tutti i backup. In questo modo un ente collassa nel giro di poco ed è costretto ad interrompere i servizi. Questo porta poi le amministrazioni alla disperazione e conseguente scelta di andare a pagare il fatidico “riscatto”. Quindi in sintesi il buon “vecchio sano” hacking è diventato “business”. Nel tempo, queste organizzazioni si sono evolute e usano meno possibile la vecchia buona “manovalanza” convertendola in tool più o meno commerciali. Questo fa sì che gli attacchi, in alcuni casi, siano più lievi e meno capillari.

Le aziende pubbliche cosa stanno facendo per evitare questo? Le aziende pubbliche stanno cercando di cambiare totalmente la loro organizzazione interna ed in questo periodo stanno cercando in vestire in fondi del cosiddetto “risorgimento post pandemia” in modo strategico e puntando più al tema della cybersecurity. Questo percorso però è lungo e tortuoso e queste organizzazioni non hanno nessuna intenzione di aspettare.

Al fine di rendere sensibili tutti andremo a descrivere cosa è successo all’Ospedale di Alessandria in modo che ognuno possa rendersi conto di cosa possa succedere e di come si possano evitare alcuni disagi. Infatti, anche quando queste organizzazioni non cifrano i dati, comunque, creano disagi e pubblicano nel dark web più dati possibile. Il dark web è un altro esempio di avanzamento tecnologico che porta però anche disagi visto che nessun sito in esso custodito può essere contestato o bloccato.

Attacco all’infrastruttura informatica dell’Azienda Ospedaliera di Alessandria

Nella notte tra il 19 dicembre 2022, indicativamente a partire dalle 23:04 e le 00.15 del giorno dopo, l’infrastruttura informatica dell’Azienda Ospedaliera di Alessandria ha visto molti dei PC della sua rete invasi da un messaggio inquietante, che notificava di un attacco hacker da parte di un gruppo denominato “Ragnar Locker”.

Nel messaggio si legge che è stato scaricato materiale per quasi un terabyte, esfiltrato dalle cartelle condivise tramite File Server e che avremmo dovuto, entro 3 giorni, contattare il gruppo via chat anonima su un canale TOR per le istruzioni che avremmo dovuto seguire, prima della vendita presso terze parti delle informazioni acquisite.

Il gruppo ha anche precisato di aver deliberatamente evitato di crittare i dati a cui ha avuto accesso, consapevole della loro rilevanza in un’organizzazione come un ospedale e quindi del dovere morale di non interrompere un servizio come quello della cura delle persone.

Ospedali sotto attacco cyber: perché sono vittime perfette

Quali dati sanitari e (non) sono stati violati

Qui occorre una precisazione: non è stato violato il sistema degli applicativi aziendali. Gli attaccanti non hanno avuto accesso ai database dei software con cui sono gestiti i processi sanitari e tecnico-amministrativi, installati e gestiti presso il Data Center centralizzato dell’azienda. È stato violato il contenuto delle cartelle condivise all’interno della rete dei computer aziendali.

Le cartelle condivise costituiscono un sistema in cui è possibile memorizzare, da parte dei dipendenti, documenti, fogli di calcolo, presentazioni, e più in generale qualsiasi file utile all’organizzazione del lavoro. Teoricamente dovrebbero esserci solo documenti per finalità di produttività individuale (quindi file per l’organizzazione dei reparti, documentazione di lavoro, ma non attinente alle attività sui pazienti), mentre i dati sanitari relativi ai percorsi clinici dei pazienti dovrebbero essere gestiti solo attraverso gli applicativi aziendali che generano le cartelle cliniche elettroniche. In pratica però, è spesso usata dai reparti anche per immagazzinare referti, esami e immagini diagnostiche. Pertanto, anche dati sanitari contenuti in referti, esami diagnostici, richieste di prestazioni sanitarie e quant’altro il personale sanitario ritenga di immagazzinare nelle cartelle condivise è stato sicuramente oggetto di esfiltrazione.

Come hanno fatto?

I giorni trascorsi a seguito dell’attacco sono stati spesi analizzando, con il supporto dell’Agenzia per la Cybersicurezza Nazionale (ACN), i movimenti degli attaccanti nei sistemi dell’infrastruttura di rete dell’Azienda, allo scopo di identificare la modalità di primo accesso. A seguito di tale analisi, si presume che l’attaccante possa aver sfruttato una vulnerabilità relativa al firewall perimetrale e un’utenza di servizio con privilegi di amministratore per attivare una connessione anonima verso la rete interna e da lì diffondersi all’interno.

Vediamo più in dettaglio cosa vogliano dire questi due elementi e perché siano stati fondamentali per accedere, praticamente senza la necessità di alcuna tecnica di forzatura, all’intera rete dei PC aziendali (ma non ai database degli applicativi aziendali, installati presso il Data Center centralizzato dell’ospedale e non violato).

Una probabile cronologia degli eventi

Preciso che quella che segue è una probabile cronologia degli eventi (il perché lo scoprirete più avanti):

• Ottobre 2022: gli attaccanti accedono al firewall aziendale, approfittando di una particolare vulnerabilità di sistema che, se ben sfruttata (e non c’è dubbio che chi ha fatto accesso, sapesse molto bene cosa fare) consente un bypass nel processo di autenticazione, e, con una delle utenze acquisite, una di quelle con una VPN già autorizzata, accedono senza problemi e senza la necessità di nessuna ulteriore tecnica di forzatura alla rete dei PC aziendali.
• Novembre 2022: seguono altri accessi con altre utenze di livello di amministratore durante le settimane successive, per recuperare ulteriori informazioni su di noi. Probabilmente è in uno di questi accessi che acquisiscono le informazioni per accedere alla console di controllo del sistema di antivirus;
• Dicembre 2022: effettuano download massivi delle cartelle in file sharing e lanciano un eseguibile che scarica un messaggio di testo su molti (non tutti) i PC aziendali, contenente la rivendicazione dell’attacco.

Figura 1 Schema di infiltrazione nel sistema di File Sharing dell’Azienda ospedaliera di Alessandria

Tanti colpevoli, nessun sospettato: cosa ha permesso il “delitto perfetto”

Questo quanto siamo riusciti a ricostruire finora. Come ci siamo riusciti se sono entrati con privilegi di amministratore e quindi praticamente senza violare di fatto quasi nulla dell’infrastruttura di rete aziendale? Analizzando i log.

I log sono file automaticamente generati da ogni componente dell’infrastruttura di rete che registrano l’intera sequenza delle operazioni effettuate da un utente o da una macchina in ordine cronologico.

È doveroso dire che non l’abbiamo fatto da soli. Fondamentale è stato il supporto del gruppo DFIR (Digital Forensic & Incident Response) di ACN, distaccato presso l’Azienda Sanitaria Ospedaliera di Alessandria a partire dal 2 gennaio 2023, qualche giorno dopo la segnalazione all’ACN, per fornire supporto tecnico nelle attività di analisi e ripristino dei servizi.

Però, come detto all’inizio, è solo una versione probabile della storia; una ricostruzione basata sui pezzi di informazioni a nostra disposizione. Ma ci sono parecchi tasselli che mancano nel mosaico del racconto che stiamo cercando faticosamente di recuperare con il supporto di ACN e dei partner dei sistemi di protezione (di cui comunque l’Azienda Ospedaliera è dotata). Per esempio, perché trascorrono tre mesi dal momento del primo accesso a quello di dicembre? È stato davvero solo per nobiltà d’animo che non hanno codificato i dati esfiltrati? È stato un solo soggetto (o gruppo di soggetti) o più di uno?

In ogni caso, la vicenda ha messo in evidenza tutti i buchi che, come nel più classico dei manuali sul risk management si sono allineati per andare a generare l’infiltrazione^[1].

Primo buco è la ricostruzione di come siano riusciti ad accedere al firewall. Ipotizziamo che abbiano sfruttato una vulnerabilità presente su quel modello e quella marca di apparecchio nel periodo in questione, ma non ne siamo sicuri. Non lo siamo per un motivo molto semplice: abbiamo un sistema di analisi dei log dei firewall solo da dicembre 2022. I movimenti in questione sono stati dedotti analizzando i log del server, ma non quelli del firewall.

Secondo buco è sicuramente la mancata notifica della necessità dell’immediata installazione di una patch risolutiva della vulnerabilità in questione, che il produttore del firewall aveva notificato tramite i propri canali ufficiali già dal 6 ottobre 2022, ma di cui a noi è pervenuta notizia per via puramente casuale (la mia abitudine a spulciare i blog di settore) solo il 30 novembre, installandola poi di fatto solo il 6 dicembre 2022.

Terzo buco (questo davvero grosso!), era la presenza delle password nel file config degli utenti di dominio dell’Active Directory caricato sul firewall (punto 2. della sequenza precedente). Un po’ come avere una porta blindata, ma lasciare le chiavi nella toppa!

Quarto buco è l’elevato numero di utenti con privilegi di amministratore che erano configurati nell’Active Directory dell’Azienda. Perché erano così tanti? La scelta risale ai tempi in cui i dispositivi in rete erano molti meno, così come notevolmente più bassi erano i rischi di attacco da parte di soggetti malevoli. Tale configurazione consentiva una notevole semplificazione del controllo sull’utilizzo di tali utenze da parte dei fornitori di applicativi, che devono accedere alla rete aziendale dall’esterno per attività di manutenzione, ad esempio, o degli operatori stessi dell’area ICT.

Figura 2 le vulnerabilità che hanno portato all’incidente dell’attacco hacker nell’ospedale di Alessandria

Dopo l’attacco: la gestione dell’emergenza e la pianificazione di consolidamento

In realtà già da un an anno e mezzo prima del fatidico 19 dicembre 2022, al di là dell’evento emergenziale, il tema della sicurezza informatica era stato oggetto di una pianificazione che vedeva l’Azienda impegnata in una complessa opera di potenziamento dell’infrastruttura di sicurezza e di miglioramento della consapevolezza sui rischi legati agli attacchi cyber verso l’utenza.

Grande attenzione al tema della cybersecurity è stata poi posta nella pianificazione degli investimenti PNRR Missione 6 componente 2 1.1.1, dove circa 500.000 euro in quattro anni sono stati previsti per acquisire know how e tecnologie necessarie per potenziare la sicurezza infrastrutturale e applicativa dei sistemi ospedalieri.

La gestione dell’emergenza dopo l’attacco ha richiesto di accelerare alcune delle misure oggetto di tale pianificazione, ma soprattutto di coprire le falle che l’attacco ha reso evidenti. Di seguito le principali azioni contenitive e correttive:

• Gestione dominio tramite Active Directory:
  • Con ACN stiamo utilizzando tools specifici per l’analisi dell’active directory (Pingcastle, ADACLScan) per il monitoraggio degli indicatori di rischio di dominio (inactive user or computer, account take over, old trust protocol, ecc);
  • sono stati ridotti considerevolmente gli utenti amministratori, come da best practice per l’uso di Active Directory, calibrando quindi l’accesso in funzione delle attività che gli utenti devono svolgere (approccio ROLE BASED ACCESS CONTROL);
  • È in corso la divisione dei ruoli di amministrazione, postazioni di lavoro, dominio, server centralizzati, server ditte esterne;
• Gestione firewall:
  • chiusi tutti gli accessi diretti ad internet ritenuti non indispensabili. Quelli indispensabili sono in fase di analisi in modo da poterli ulteriormente restringere (host specifici e porte);
  • aggiornamento delle vulnerabilità;
  • filtro sul traffico al di fuori dell’Italia;
  • potenziamento dell’attività di raccolta e analisi dei log.
• Gestione VPN:
  • Sono state subito chiuse tutte le VPN e stiamo procedendo alla loro riattivazione in base ad un iter autorizzativo ben preciso e codificato;
  • È stato implementato un sistema di accesso tramite autenticazione a più fattori (Multi Factor Authentication – MFA -) tramite comunicazione di un OTP su una mail personale dell’utente.

Parallelamente Con l’ACN sono in corso le analisi su firewall, VPN, Active Directory, file server, DNS pubblico, gestite congiuntamente con un’azienda esperta nella erogazione di servizi di SOC (Security Operation Center) e il rifacimento ex-novo delle macchine di dominio, nell’ambito della revisione dell’active directory

Cosa abbiamo imparato: partire dalle basi

Nell’immaginario collettivo, gli “hacker” sono giovani menti geniali autodidatte dotati delle competenze per manipolare un hardware o software per usi non previsti dagli sviluppatori. In realtà, sono aziende in tutto e per tutto, che hanno stabilito un’infrastruttura criminale che sviluppa e vende strumenti per l’hacking pronti all’uso destinati ad aspiranti truffatori dotati di competenze tecniche meno sofisticate (i cosiddetti “script kiddie”). Si pensi, ad esempio, al ransomware-as-a-service.

Quello che abbiamo subito è una conferma di questa realtà: tra l’accesso che abbiamo avuto ad ottobre e il successivo passa un mese in cui, data la differenza di modus operandi e il lasso di tempo intercorso è probabile che lo scopritore della vulnerabilità (responsabile del primo accesso) abbia venduto le informazioni per accedere alla nostra infrastruttura ad un secondo soggetto, il quale ha prima raccolto ulteriori informazioni con altri accessi, per poi a dicembre colpire con l’esfiltrazione dei dati e la probabile rivendita sul dark web internazionale.

Esiste un mercato relativo a tutto questo, ed è non solo relativo ai dati, ma anche agli strumenti per ottenerli. Ed è molto florido.

Un’altra considerazione importante è relativa alla pianificazione degli investimenti: è vero che la creazione di un budget per la sicurezza informatica deve essere una priorità aziendale per gli anni a venire. È altrettanto vero che, per molte organizzazioni, è ancora qualcosa di reattivo: un hacker penetra nella rete e all’improvviso nasce il bisogno di un nuovo firewall, IDS/IPS, antivirus e tutta una serie di altri prodotti di prevenzione per evitare un’ulteriore potenziale minaccia.

Quello che però è importante evidenziare è che spesso mancano le misure di base per evitare che un accesso sia fatto senza il benché minimo ricorso a tecniche di forzatura a contrasto delle quali occorre fare quegli investimenti.

Quello che ci è successo è emblematico: Active Directory con utenti amministratori in numero e con permessi eccessivi, VPN in numero sovrabbondante e senza meccanismi di autenticazione forte, regole di firewall deboli e non aggiornate periodicamente, password deboli e perdipiù dentro i file config descrittivi delle utenze di dominio hanno permesso agli hacker di entrare dentro l’infrastruttura, disabilitare l’antivirus e acquisire tutto quello che hanno voluto (ribadisco però al difuori dei data base degli applicativi aziendali, a cui non hanno avuto accesso) come se fosse stato il nostro sistemista.

Sono i prerequisiti che, prima di parlare di qualsiasi investimento ulteriore di potenziamento della sicurezza, devono essere dati per scontato e che spesso per scontato non è possibile dare, perché questo settore è stato spesso recluso a ruoli ancillari, di centro stampa o di fornitore di macchine da ufficio, o ostaggio di figure poco specializzate, se non incompetenti, fino a poco fa.

Quindi, è importante investire, ma dando priorità alle proprie vere vulnerabilità, a patto di saperle riconoscere e senza rincorrere la moda tecnologia del momento, specie se la propria organizzazione non è ancora pronta.

Infine, occorre considerare che la sicurezza delle informazioni ha una dimensione organizzativa di gran lunga più rilevante di quella tecnica.

Se in un ospedale non si definisce chiaramente il ruolo e il profilo di accesso alla rete degli operatori, non solo tecnico amministrativi, ma soprattutto sanitari, se non si stabilisce che certi dati possono essere veicolati sono attraverso certi canali (applicativi certificati e non le cartelle condivise sul File Server, ad esempio), se tutto questo non è sostenuto dalla Direzione nel suo complesso, e non solo dal responsabile dei sistemi informativi, il piano di risposta alle vulnerabilità sarà sempre parziale e orientato all’emergenza.

Note

1. James Reason, “la teoria del formaggio svizzero” ↑