Число атак программ-вымогателей в сфере здравоохранения достигло рекордного уровня

Согласно новому отчету об угрозах, инциденты с программами-вымогателями, нацеленными на организации здравоохранения, достигли самого высокого квартального показателя за год в последние три месяца 2025 года, при этом против сектора здравоохранения было зарегистрировано 190 атак. отчет от Health-ISAC.

В отчете, в котором анализируются тенденции кибербезопасности в отрасли здравоохранения, установлено, что общее количество киберинцидентов во всех секторах выросло до 8903 в 2025 году, что на 55 процентов больше, чем 5744 инцидента, зарегистрированных в 2024 году. Число инцидентов, связанных с сектором здравоохранения, выросло на 21 процент в годовом исчислении: с 476 в 2024 году до 575 в 2025 году.

В течение квартала в ландшафте угроз доминировали две существенные уязвимости, что побудило Health-ISAC выпустить 183 целевых оповещения организациям-членам с потенциально уязвимой инфраструктурой.

В первом случае речь шла об Ivanti Endpoint Manager, где в декабрьских рекомендациях по безопасности были раскрыты одна критическая и три уязвимости высокой степени серьезности, которые могли позволить неаутентифицированным злоумышленникам получить полный административный контроль над консолями управления и всеми устройствами, которыми они управляют. Health-ISAC работал с партнерами по разведке BlueVoyant, чтобы выявлять и предупреждать потенциально уязвимые организации-члены.

Вторая серьезная уязвимость затронула службы Windows Server Update Services. В октябре Microsoft выпустила внеполосное обновление безопасности для устранения CVE-2025-59287, критической уязвимости удаленного выполнения кода с оценкой CVSS 9,8. Уязвимость возникает из-за небезопасного использования .NET BinaryFormatter и позволяет неаутентифицированным злоумышленникам выполнять произвольный код с системными привилегиями. Активная эксплуатация началась через несколько часов после публикации доказательства концепции.

Открытые и открытые базы данных и открытые инструменты удаленного доступа также заняли видное место среди тем предупреждений квартала.

Подпольные рынки Торговый доступ к сетям здравоохранения

В течение квартала злоумышленники продолжали продавать доступ к медицинским организациям через подпольные форумы. Пользователь, идентифицированный как RAZOR-X, в ноябре опубликовал на русскоязычном форуме по киберпреступности сообщение, в котором утверждал, что продает первоначальный доступ к сетям в США, Канаде, Великобритании, Австралии и Европейском Союзе, включая две компании сектора здравоохранения.

Первая цель была описана как годовой доход в 11 миллионов долларов США с доступом через Fortinet VPN, который включает привилегии администратора домена. Вторая организация с годовым доходом в 25 миллионов долларов предлагала аналогичный доступ к Fortinet VPN с привилегиями пользователя домена. Продавец не назвал цены, а посоветовал заинтересованным сторонам связаться с ним в частном порядке.

В отчете отмечается, что злоумышленники часто скрывают личности жертв, предоставляя при этом данные о доходах или информацию о секторе, чтобы указать стоимость данных, выставленных на аукцион. Оплата обычно производится в криптовалюте, а транзакции иногда осуществляются администраторами форума.

Убери это

• Немедленно примените исправления для Ivanti Endpoint Manager и служб Windows Server Update Services, особенно если какая-либо из систем подключена к Интернету.
• Просмотрите конфигурации Fortinet VPN и средства контроля доступа, поскольку злоумышленники активно продают доступ к сети, полученный через эти системы.
• Внедрите многофакторную аутентификацию для всех учетных записей, особенно для тех, у которых есть возможность удаленного доступа.
• Регулярно выполняйте автономное резервное копирование важных данных и тестируйте процедуры восстановления, чтобы убедиться, что восстановление возможно без уплаты выкупа.
• Разверните решения для обнаружения и реагирования на конечных точках и отслеживайте индикаторы компрометации, связанные с программой-вымогателем Akira, включая необычное использование PsExec и аномальную активность RDP.
• Обеспечьте сегментацию сети, чтобы изолировать критически важные системы и предотвратить перемещение злоумышленников по горизонтали.
• Проводите регулярное тестирование на проникновение и учения красной команды, чтобы выявлять уязвимости до того, как это сделают злоумышленники.
• Делитесь информацией об угрозах с коллегами из отрасли через такие организации, как Health-ISAC, для укрепления коллективной защиты.