Community Health數據泄漏 疑利用Heartbleed漏洞
責編：admin ｜2014-08-27 17:02:15當Heartbleed OpenSSL漏洞在4月份被發(fā)現(xiàn)時，安全社區(qū)很多專家都警告說，該漏洞可能被用來暴露敏感數據，盡管當時還沒有證據證明攻擊者正在積極利用Heartbleed漏洞。而現(xiàn)在，一家信息安全咨詢公司警告稱，在最近的Community Health Systems公司的數據泄漏事故中，Heartbleed漏洞可能被作為最初的攻擊向量。
Community Health在美國29個州經營著超過200家醫(yī)院，該公司在本周提交給美國證券交易委員會的申報表8-K中稱，攻擊者在4月和6月攻擊了其安全系統(tǒng)，泄露了450萬病人受HIPAA保護的數據。根據該申報表顯示，這些數據包括個人信息，例如姓名、生日、聯(lián)系方式和社會安全號碼，但該醫(yī)療服務提供商強調醫(yī)療信息和信用卡信息并未受到影響。
Community Health還指出他們已經聘請外部取證公司Mandiant來協(xié)助調查。Mandiant認為該泄漏事故與中國黑客組織“APT-18”有關，但并沒有提供進一步的詳細信息，例如攻擊者所使用的戰(zhàn)術或者為什么他們竊取個人資料，而不是有價值的知識產權信息，這是攻擊組織的典型目標。
信息安全咨詢公司TrustedSec LLC在博客文章中稱，Community Health泄漏事故背后的攻擊者利用Heartbleed來在該公司的網絡獲得立足之地。TrustedSec表示這個信息來自參與該泄漏事故調查中匿名人士，而在接受彭博社的采訪時，該公司創(chuàng)始人兼首席安全顧問David Kennedy表示三位不愿意透露姓名的人士告訴了他這個信息。
根據TrustedSec表示，這是迄今為止第一個使用Heartbleed漏洞作為數據泄漏事故的初始向量的實例。在Heartbleed被公布后不久，涉及該漏洞的安全事故并不多。CloudFlare、Akamai和其他公司的研究人員隨后證實，Heartbleed確實可以被用來收集私有SSL密鑰和其他敏感數據，不過非常耗時間。
該TrustedSec博客文章解釋說，Community Health的攻擊者能夠從該公司網絡中的一臺瞻博網絡設備(當時未打補丁)獲取用戶登錄憑證，然后他們能夠登錄到Community Health VPN。
“從那里，攻擊者通過其他攻擊手段來深入到網絡，直到從數據庫獲取約450萬病人的記錄，”TrustedSec在博客文章中寫道，“這并不奇怪，因為如果能夠內部訪問到任何計算機網絡，攻擊者幾乎可以100%成功地攻入系統(tǒng)和進一步訪問。”
目前有幾個瞻博網絡受到Heartbleed漏洞的影響，包括多個版本的SSL VPN和利用Junos OS 13.3R1的產品，但該公司在該OpenSSL漏洞被公開后不久就修復了這些產品。TrustedSec并沒有進一步說明該漏洞事故中涉及哪個瞻博網絡的產品，也沒有透露該設備在多久時間內未修復補丁，他們只是表示，該事故原本可以通過使用補償性控制直到補丁出現(xiàn)來避免。
“在攻擊發(fā)生時，能夠檢測和響應攻擊是制定事件響應和快速緩解威脅的關鍵，TrustedSec在博客文章中總結道，“我們在這里可以學到的是，當出現(xiàn)Heartbleed這樣的漏洞時(雖然很少)，我們需要專注于毫不拖延地立即解決安全問題。”