# Ataque de ransomware ao Health Service Executive

A 14 de maio de 2021, o Health Service Executive (HSE) da Irlanda sofreu um grande ataque cibernético de ransomware que fez com que todos os seus sistemas de TI em todo o país fossem desligados.
Foi o ataque de cibercrime mais significativo a uma agência estatal irlandesa e o maior ataque conhecido contra um sistema informático de serviço de saúde. A Bloomberg News informou que os invasores usaram o ransomware Conti . O grupo responsável foi identificado como uma gangue criminosa conhecida como Wizard Spider, que se supõe ter estado a operar na Rússia. Acredita-se que o mesmo grupo tenha atacado o Departamento de Saúde com um ataque cibernético semelhante.
A 19 de maio, o Financial Times fez uma revisão de dados privados de doze indivíduos que apareceram online como resultado da violação. A 28 de maio, o HSE confirmou que informações médicas confidenciais de 520 pacientes, bem como documentos corporativos foram publicados online.
A 23 de junho, foi confirmado que pelo menos três quartos dos servidores de TI do HSE foram descriptografados e 70% dos computadores estavam novamente em uso. Em setembro, mais de 95% de todos os servidores e dispositivos foram restaurados.

## Contexto

Os invasores começaram com envio de um e-mail malicioso para uma estação de trabalho, a 16 de março de 2021. O e-mail foi aberto em 18 de março. Um arquivo malicioso do Microsoft Excel foi baixado, o que permitiu que os invasores acessassem os sistemas do HSE. Os invasores ganharam mais acesso nas semanas seguintes. O software antivírus do HSE detectou atividade a 31 de março, mas não conseguiu bloqueá-la, pois estava definido para o modo de monitoramento.
A 13 de maio, o provedor de segurança cibernética do HSE enviou um e-mail à equipe de operações de segurança informando que haviam ameaças não tratadas em pelo menos 16 sistemas desde 7 de maio. A equipe de operações de segurança fez com que a equipe do servidor reiniciasse os servidores.
O HSE foi alertado sobre o ataque às 4h do dia 14 de maio de 2021. O ataque afetou os sistemas nacionais e locais, envolvidos em todos os serviços principais, com o HSE desativando seu sistema de TI para protegê-lo do ataque e dar tempo ao HSE para considerar opções.
O ataque ocorreu durante a pandemia de COVID-19 . O programa de vacinação COVID-19 da Irlanda não foi afetado pelo ataque e prosseguiu conforme planeado; no entanto, o sistema de clínica geral de COVID-19 e o sistema de referência de contato próximo estavam inativos, exigindo que esses indivíduos frequentassem os locais de atendimento em vez de comparecer a uma consulta.
O independente TD (Membro do Parlamento) Cathal Berry afirmou que o Centro Nacional de Segurança Cibernética, responsável pela segurança cibernética do estado, tinha apenas 25 funcionários, um orçamento de € 5 milhões por ano, sem instalações dedicadas, e que sua posição de Administrador estava vago há um ano devido ao seu salário de 89.000 euros por ano. O Centro Nacional de Segurança Cibernética está sob a alçada do Departamento de Meio Ambiente, Clima e Comunicações .

## Autor e metodologia

O National Cyber Security Center identificou a ferramenta de teste de penetração Cobalt Strike, vendida pela empresa americana de TI HelpSystems, como sendo usada para infiltrar e infectar os sistemas do HSE e do Departamento de Saúde, correr arquivos executáveis e implantar uma variante do ransomware Conti . O Cobalt Strike Beacon foi detectado em sistemas infectados, o que permitiu que eles fossem controlados e que o software fosse implantado remotamente.
O grupo responsável foi identificado como uma gangue criminosa conhecida como Wizard Spider, que se acredita estar operando em São Petersburgo, na Rússia.

## Impacto

O ataque cibernético de ransomware teve um impacto significativo nas consultas hospitalares em todo o país, com muitas consultas canceladas, incluindo todos os serviços ambulatoriais e de radiologia.
Vários hospitais descreveram situações em que não conseguiam acessar sistemas e registros electrónicos e precisavam contar com registros em papel. Alguns alertaram para interrupções significativas com o cancelamento de consultas de rotina, incluindo checkups e exames de maternidade.
O sistema de referência de testes COVID-19 foi colocado offline, exigindo que indivíduos com casos suspeitos compareçam aos centros de testes COVID-19 walk-in, em vez de comparecerem a uma consulta. O portal de registro de vacinação COVID-19 também ficou offline, mas voltou a ficar online à noite.
A chefe de operações do HSE – Anne O'Connor – disse a 14 de maio que alguns serviços de oncologia e cardiologia foram afetados e que "a situação será muito grave se continuar até segunda-feira [17 de maio]". Ela disse que as preocupações mais sérias eram com os sistemas de diagnóstico, com os sistemas de radiologia tendo caído, afetando o avanço de exames de tomografia computadorizada e de outros exames. Uma grande quantidade de consultas ambulatoriais também foi cancelada; a maioria dos serviços de saúde comunitários não são afetados. O'Connor também informou que "não sabemos quais dados foram coletados", mas "sabemos que alguns dados foram comprometidos", com o Comissário de Proteção de Dados sendo alertado sobre a possível violação.
O HSE publicou uma lista de serviços afetados em seu site, na hora do almoço, a 14 de maio de 2021.
A 19 de maio, o Financial Times revisou "amostras" de dados privados de doze indivíduos que foram publicados on-line, incluindo registros de admissão e resultados laboratoriais de um homem internado no hospital para cuidados paliativos . Em resposta, o Centro Nacional de Segurança Cibernética afirmou que as gangues criminosas "habitualmente liberam informações roubadas como meio de pressionar as organizações a pagar um resgate". A equipe do ContiLocker alegou também ter contratos de trabalho de funcionários, dados de folha de pagamento e demonstrações financeiras, endereços de pacientes e números de telefone de pacientes.
A 28 de maio, o HSE confirmou que os dados relativos a 520 pacientes, incluindo informações confidenciais, foram publicados online.
A dezembro de 2021, o HSE disse que poderia levar até quatro meses para entrar em contato com todos aqueles cujos dados foram roubados. O Garda National Cyber Crime Bureau recebeu os dados do Departamento de Justiça dos Estados Unidos por meio de um tratado de assistência jurídica mútua . O Bureau forneceu os dados ao HSE a 17 de dezembro de 2021. O HSE confirmou que esses dados foram retirados dos seus computadores. O HSE também entrou em contato com o Comissário de Proteção de Dados sobre os dados. Os dados seriam uma mistura de dados pessoais, informações médicas, informações corporativas do HSE, bem como informações administrativas pessoais comerciais e gerais.

## Resposta

O HSE está a trabalhar com o Centro Nacional de Segurança Cibernética, a Garda Síochána, as Forças de Defesa Irlandesas, bem como vários parceiros nacionais e internacionais, incluindo Europol e Interpol .
O Ministro de Estado para Compras Públicas e Governação Electrónica – Ossian Smyth – disse que o ataque foi internacional, não de espionagem, e que “este é um ataque muito significativo, possivelmente o ataque cibernético mais significativo ao estado irlandês”.
O HSE alegou que era uma ameaça de dia zero e que não havia experiência em como responder ao ataque. O ministro da Saúde – Stephen Donnelly – disse que o ataque teve “um impacto severo” nos serviços de saúde e assistência social. O diretor-geral do HSE – Paul Reid – disse que o ataque iria custar “dezenas de milhões” para ser consertado.
Vários meios de comunicação, incluindo o Bleeping Computer, relataram que um resgate de € 16,5 milhões (cerca de US $ 20 milhões) foi feito, oferecendo para descriptografar dados e não publicar "dados privados". Inicialmente, o Business Post informou que um pedido de resgate de três bitcoins ou € 124.000 (cerca de US$ 150.000) foi feito. Taoiseach Micheál Martin afirmou que o resgate não seria pago, com o ataque sendo tratado de "maneira metódica".
As empresas americanas de segurança cibernética McAfee e FireEye foram contratadas pelo HSE após o ataque, para mitigar os danos e monitorar sites dark web em busca de dados vazados.
A 16 de maio, foi relatado que o Departamento de Proteção Social sofreu "ataques contínuos e ferozes", mas o grupo criminoso altamente organizado não conseguiu violar a segurança. Posteriormente, o Departamento suspendeu seus canais de comunicação electrónica com o HSE.
A 20 de maio, o Ministro das Comunicações, Eamon Ryan disse que uma linha de apoio iria ser criada para ajudar indivíduos que tiveram informações de saúde publicadas como resultado do ataque, e que as empresas de mídia social foram solicitadas a não compartilhar informações que foram divulgadas, com uma liminar do Tribunal Superior obtida pelo HSE para proibir o compartilhamento dessas informações. No mesmo dia, foi relatado que o grupo de crime cibernético organizado forneceu uma chave de descriptografia que poderia permitir que o HSE recuperasse seus sistemas de TI e os arquivos que os hackers bloquearam e criptografaram. Enquanto isso, o público foi aconselhado por Gardaí a estar ciente de uma série de golpes de chamadas e mensagens de texto após o ataque cibernético em meio a avisos de que a prestação de cuidados no serviço de saúde seriam um alto risco por semanas; desde 24 de maio, a Garda Síochána qualificou de "oportunistas" quaisquer ligações ameaçando a divulgação de informações, afirmando que estas não têm acesso a dados privados.
A 27 de maio, o Chefe do Executivo do HSE – Paul Reid – disse que o custo do ataque cibernético aos seus sistemas informáticos poderia ultrapassar os 100 milhões de euros.
O CIS Corps das Forças de Defesa implantou 'hackers éticos' para combater o ataque de ransomware e enviou pessoal da CIS para hospitais e escritórios de HSE para descriptografar os dispositivos afetados no local. Os reservistas do Exército foram particularmente úteis para esse esforço devido às suas habilidades de segurança cibernética e à experiência adquirida no setor privado durante seus trabalhos diários.
A 5 de setembro, durante uma grande operação realizada pela Gardaí visando a quadrilha por trás do ataque de ransomware, o Garda National Cyber Crime Bureau apreendeu vários domínios usados no ataque cibernético e outros ataques de ransomware.

### Relatório PricewaterhouseCoopers

A 10 de dezembro, foi divulgado um relatório da PricewaterhouseCoopers que revelou que os invasores estavam nos sistemas de computador HSE oito semanas antes do início do ataque. O relatório disse que o sistema de TI herdado da HSE não era resiliente contra ataques cibernéticos. Ele evoluiu ao longo do tempo, mas não foi projetado para resistir a ataques.
O CEO da HSE, Paul Reid, disse que o sistema não foi estrategicamente projetado, mas foi o resultado da fusão de conselhos de saúde, grupos hospitalares e organizações comunitárias de saúde. O sistema é muito fragmentado e isolado. Em contraste, a equipe do HSE foi descrita como resiliente, trabalhando rapidamente para garantir a continuidade dos serviços. Reid também disse que o HSE iniciou uma série de ações para mitigar futuros ataques. Isso inclui um sistema de monitoramento 24 horas para sistemas de TI no HSE e mais autenticação multifator para usuários.
O presidente do HSE, Ciarán Devine, disse que o serviço de saúde ainda sente o impacto do ataque.
O HSE aceitou várias recomendações do relatório, incluindo o desenvolvimento de um novo plano de investimento significativo e a transformação da TI legada para incluir segurança.
Novos cargos de Diretor de Tecnologia e Transformação e Diretor de Segurança da Informação devem ser criados.
O relatório também recomenda planos de gerenciamento de crises de segurança para garantir que as respostas a ataques futuros sejam gerenciadas adequadamente.
O uso de hackers éticos para testar a segurança do sistema será aumentado.

## Ataque cibernético do Departamento de Saúde

A 13 de maio, o Centro Nacional de Segurança Cibernética (NCSC) foi alertado sobre "atividade suspeita" nos sistemas do Departamento de Saúde e, na manhã de 14 de maio, uma tentativa de executar ransomware foi impedida, com os sistemas de TI do Departamento de Saúde encerrados como precaução. Uma investigação preliminar do NCSC mostrou o uso da ferramenta de acesso remoto Cobalt Strike, vendida pela empresa de tecnologia americana HelpSystems, para infectar sistemas e executar a carga útil do ransomware.
De acordo com a RTÉ News, uma nota digital do grupo de crimes cibernéticos que se acredita ser o responsável foi deixada nos sistemas de TI do Departamento, semelhante à descoberta no HSE.

## Restauro dos sistemas

A 23 de junho de 2021, foi confirmado que pelo menos três quartos dos servidores de TI do HSE foram descriptografados e 70% dos dispositivos de computador voltaram a ser usados. A 15 de julho, isso aumentou para 82% dos servidores e 83% dos dispositivos. Em setembro, mais de 95% de todos os servidores e dispositivos foram restaurados.

## Ação legal

A 25 de junho de 2021, o juiz do Supremo Tribunal Tony O'Connor foi informado de que aproximadamente 27 arquivos roubados do HSE foram colocados em um serviço de análise de malware VirusTotal no final de maio. O VirusTotal pertence e é administrado pela Chronicle Security Ireland Ltd, sua controladora norte-americana Chronicle LLC e, finalmente, pelo Google. Os arquivos roubados incluíam informações confidenciais de pacientes e foram baixados 23 vezes antes de os arquivos serem removidos a 25 de maio.
Os réus – Chronicle Security Ireland e Chronicle LLC – disseram que queriam ajudar o HSE o máximo possível, mas por motivos de proteção de dados não podem entregar material a menos que um tribunal os ordene. Portanto, o HSE solicitou ordens da Norwich Pharmacal contra os réus para exigir que eles fornecessem informações sobre aqueles que carregaram ou baixaram as informações roubadas. As ordens exigiriam que os réus fornecessem ao HSE os endereços de e-mail, números de telefone, endereços IP ou endereços físicos dos usuários desconhecidos.
O diretor nacional de desempenho e integração de operações do HSE – Joe Ryan – disse que o HSE tomou conhecimento de que o Financial Times havia publicado um artigo referindo-se a dados roubados e mencionando um link para dados roubados. O HSE solicitou a devolução dos dados roubados e uma explicação para a localização do link, mas o Financial Times indicou que recebeu a informação de uma fonte confidencial que se recusou a revelar.
A 20 de maio de 2021, o HSE obteve uma ordem judicial restringindo qualquer processamento, publicação, compartilhamento ou venda de dados roubados. Quando o Financial Times recebeu uma cópia da ordem, eles entregaram as informações que obtiveram da fonte aos consultores de segurança de computadores do HSE. A análise desse material revelou que os dados roubados foram carregados no VirusTotal.
Ryan disse que, após serem contatados, os réus excluíram os dados roubados de seus servidores.
O advogado do HSE disse ao juiz que o assunto era urgente, mas esperava que o assunto pudesse ser finalizado quando o assunto chegar ao tribunal. Os advogados do réu disseram que é improvável que se oponham a qualquer ordem de forma acordada do HSE para divulgar informações. O juiz, em uma base ex parte, concedeu permissão ao advogado para notificar os réus em curto prazo e retomou o assunto na semana seguinte.