CERT Santé

📝 L'ANSSI - Agence nationale de la sécurité des systèmes d'information vient de publier un état de la menace informatique sur le domaine de la Santé ! N'hésitez par à lire le document entier, il est complet et intéressant. Les sujets abordés : • Les particularités des Systèmes Informatiques des Etablissements de Santé • Les types de menaces • Des recommandations (qu'on vous recommande de lire et appliquer) #Cyber #Menace #Health #Santé #Numérique

Le 16 avril 2024, le CERT Santé est intervenu auprès du Centre Hospitalier Simone Veil de Cannes qui a subi une attaque par rançongiciel, entraînant le chiffrement d'un serveur de fichiers et de 15 % des postes de travail. ⚠ La détection de la compromission n'a pu avoir lieu qu'à partir du moment où les utilisateurs ont commencé à remonter des dysfonctionnements et des alertes anti-virales sur leurs postes. La coupure des flux réseau immédiate qui a suivi ces remontées a néanmoins permis d'éviter un déploiement plus large. 💪 Aux côtés du CERT-FR et des différents prestataires impliqués, nous avons pu opérer le suivi de crise et les opérations d'investigation nécessaires pour comprendre l'incident et proposer des opérations de remédiation et de durcissement adéquates, tout en minimisant autant que possible la durée de suspension des métiers de soin impactés. 🛡 A l'issue de cet incident, nous avons eu l'occasion de publier un retour d'expérience sur les grandes lignes de l'opération. https://lnkd.in/eWBgUpXK #chcannes #certsanté #incident ANSSI - Agence nationale de la sécurité des systèmes d'information

⚠ 🚨 ALERTE VULNÉRABILITÉ🚨 ⚠ La vulnérabilité 𝗖𝗩𝗘-𝟮𝟬𝟮𝟰-𝟰𝟱𝟱𝟭𝟵, affectant les produits Zimbra Collaboration est actuellement exploitée par des attaquants.   Pour la sécurité de vos systèmes, mettez à jour vos équipements en version 8.8.15 Patch 46, 9.0.0 Patch 41, 10.0.9, 10.1.1 ou ultérieure, même si l'interface web n'est pas exposé sur internet. Vérifiez si le service 𝘱𝘰𝘴𝘵𝘫𝘰𝘶𝘳𝘯𝘢𝘭 est activé (par défaut il ne l'est pas). Si vous ne pouvez pas appliquer le patch, désactiver ce service (voir commande en commentaire).   Pour en savoir plus : https://lnkd.in/enszpnXs #Zimbra #CVE #Vulnerability #Patch

🏥 Les dessous d'une coopération interministerielle 🕵️ C'est avec le CSIRT-PJ de l'Office anti-cybercriminalité (OFAC), qu'aux #CNSSIS2024 nous avons présenté un retour d'expérience concernant une prévention victime.   La prévention victime c'est quoi❔ On résume :   1️⃣ La Police Judiciaire reçoit une information sur une potentielle victime à venir en France. 2️⃣ Les ingénieurs identifient que cette future victime est un établissement de santé. 3️⃣ Le CERT Santé étant un acteur sectoriel, ils nous préviennent (toujours un vendredi à 18h 😡). 4️⃣ Nous trouvons un contact interne à l'établissement, (activant nos contacts dans les GradeS, ARS et tissu local des RSSI). 5️⃣ 30 minutes plus tard, nous sommes en cellule de crise, il faut vérifier que les indications données par le partenaire du CSIRT-PJ sont avérées. ➡️ Après quelques recherches dans les logs systèmes et réseaux, on identifie une IP connue et remarquons que l'attaquant est déjà Administrateur de domaine (il faut donc faire vite). ⏱️ 🏰 A ce moment, le plus important est d'isoler l'établissement d'internet, pour que l'attaquant ne puisse plus revenir. 🔜 Les jours suivants, nous analysons les actions de l'attaquant. Trouvons les informations auxquelles il a accédé. Trouvons des indicateurs le concernant. Transmettons le tout à la Police Judiciaire. En parallèle, nous accompagnons l'établissement dans la reconstruction de son SI, en augmentant le niveau de sécurité et en les aidant sur des choix architecturaux.   On résume le résumé (TL;DR) : La Police a une info, nous la donne. On arrive à temps et empêchons l'attaquant de continuer. On trouve des informations sur cet acteur malveillant, on consolide tout ça dans un rapport detaillé. L'établissement ne subit pas de chiffrement, et nous l'accompagnons dans sa reconstruction SI. La police repart avec des infos sous le bras pour faire avancer l'enquête ! Apssis Agence du Numérique en Santé 💾Nha-Khanh NGUYEN 📸 David Piolé

🚨 RETOUR D’EXPERIENCE D’UNE CYBERATTAQUE 📣 🔎 Décryptage de la cyberattaque subie par le CH d'Armentières. Que s’est-il vraiment passé ? ➡️ Le Centre Hospitalier d’Armentières a été victime d’une attaque par rançongiciel résultant en le chiffrement d'une partie du SI. ➡️ L'attaquant a utilisé un compte VPN pour accéder au SI, prendre le contrôle du domaine et chiffrer les systèmes du Centre Hospitalier d’Armentières. Le CERT Santé publie un retour d’expérience sur la prise en charge de l’incident et sur les actions à mener pour renforcer la sécurité. ➡️ Il faut partager ces expériences pour mieux faire face collectivement aux menaces de cybersécurité ! Plus d’informations sur les dispositifs mis en place 👉 https://lnkd.in/gsaewZ6t Retrouvez tous nos retours d’expérience 👉https://lnkd.in/gDjJek-B CHU de Lille Thomas Aubin Agence du Numérique en Santé #CERTSante #Cybersécurité #cyberattaque #hopital #armentieres

❗ Panne Crowdstrike en cours Pour information, un incident majeur est en cours ce jour sur les systèmes Microsoft Windows sur lesquels l'outil EDR Crowdstrike Falcon est déployé. Cet incident provoque un "écran bleu" forçant un redémarrage du poste. ➡ Aucun élément ne permet d'affirmer ou de supposer le caractère malveillant de cet incident. Plusieurs mesures de contournement sont disponibles en source ouverte. Néanmoins, nous vous recommandons de vous adresser directement à l'éditeur via vos canaux habituels pour obtenir des recommandations spécifiques à votre cas. 🔎 Cas général : - Redémarrer la machine pour permettre une mise à jour de l’agent. - En cas d’échec, démarrer le système d’exploitation en mode « sans échec » (« safe mode ») ou en utilisant le Windows Recovery Environment. - Supprimer tout fichier de la forme "C-00000291*.sys" dans le répertoire %WINDIR%\System32\drivers\CrowdStrike. - Redémarrer la machine. Les équipes du CERT Santé, en coopération avec le CERT-FR, sont mobilisées pour appuyer leurs établissements bénéficiaires. Ressources : https://lnkd.in/eDP3EBUp

⚠ 🚨 ALERTE VULNERABILITE🚨 ⚠ La vulnérabilité CVE-2024-5806 affectant les produits MOVEIt (Progress MOVEit Transfer) est actuellement activement exploitée. - Vulnérabilité dans l'authentification du module SSH/SFTP pouvant mener à un contournement de l'authentification. Pour votre sécurité, téléchargez le correctif proposé par MOVEIt directement depuis le site constructeur. Pour en savoir plus : https://lnkd.in/d5Vy6H3R #MOVEIt #CVE-2024-5806

⚠ 🚨 ALERTE VULNERABILITE🚨 ⚠ La série de vulnérabilités CVE-2024-29973, CVE-2024-29974, CVE-2024-29975 et CVE-2024-29976 affectant les produits Zyxel NAS326 et NAS542 est activement exploitée. - Exécution de de commandes OS via une injection dans plusieurs paramètres de routines CGI par un attaquant non authentifié (via des requêtes HTTP POST spécifiquement forgées) - Exécution de commandes OS par exploîtation d'une erreur dans la gestion des privilèges au sein du binaire SUID. Pour votre sécurité, téléchargez le correctif proposé par Zyxel directement depuis le site constructeur. Pour en savoir plus : https://lnkd.in/e4XSGzFt #Zyxel #CVE-2024-29973 #CVE-2024-29974 #CVE-2024-29975, #CVE-2024-29976

🔥📢 Et si on parlait des VRAIS chiffres des incidents de cybersécurité dans le secteur de la Santé ? 🏥 📋 Le rapport de l'Observatoire des incidents de sécurité des systèmes d’information pour les secteurs santé et médico-social 2023 est disponible : https://lnkd.in/e9zcmZ7G 🔎 Dans ce rapport sont présentés : - Les missions et services du CERT Santé - La méthodologie pour consolider les statistiques - Des constats sur l'incidentologie et recommandations SSI - Les chiffres clés et événements parlants pour l'année 2023. Le rapport complet : https://lnkd.in/exPJC8zk Agence du Numérique en Santé ANSSI - Agence nationale de la sécurité des systèmes d'information Ministère de la Santé #cybersecurity #security #technology #infosec #cybercrime #tech #cyber

⚠ 🚨 ALERTE VULNERABILITE🚨 ⚠ La vulnérabilité CVE 2024-24919, affectant les produits CheckPoint Security (avec les services Remote Access VPN ou Mobile Access blade activés) est activement exploitée. Pour votre sécurité, téléchargez le correctif proposé par CheckPoint Security directement depuis sa passerelle de sécurité. L’éditeur a également mis à disposition un script afin de déterminer si la configuration de la passerelle est vulnérable : https://lnkd.in/erNhqJ8R Pour en savoir plus : https://lnkd.in/e7hshcRd