Datenschutz Medizinische Bildgebungssoftware als Sicherheitsrisiko

Anbieter zum Thema

Governikus GmbH & Co. KG

Eine Studie zeigt, dass Cyberkriminelle gezielt Software für medizinische Bildgebung und Patientenüberwachung ins Visier nehmen – mit potenziell gravierenden Folgen für den Klinikbetrieb und die Patientensicherheit.

Wenn Patienten heute ein CT, MRT oder eine andere bildgebende Untersuchung erhalten, bekommen sie häufig eine CD mit ihren Bildern und einer passenden Betrachtungssoftware. Diese sogenannten DICOM-Viewer ermöglichen es Patienten, ihre eigenen medizinischen Bilder anzusehen. Die Untersuchung von Forescout Research – Vedere Labs hat jetzt eine groß angelegte Kampagne aufgedeckt, bei der manipulierte Versionen des Philips DICOM-Viewers verbreitet wurden.

Zentraler Speicher

Radiologie: Abschied von der CD

Die Forscher identifizierten 29 manipulierte Versionen der Software „MediaViewerLauncher.exe“, die zwischen Dezember 2024 und Januar 2025 entdeckt wurden. Diese modifizierten Programme installieren im Hintergrund eine Backdoor namens ValleyRAT, einen Keylogger und einen Krypto-Miner. Diese Schadsoftware-Komponenten ermöglichen es Angreifern, Kontrolle über infizierte Computer zu erlangen, Tastatureingaben zu protokollieren und Rechenleistung für das Mining von Kryptowährungen zu missbrauchen.

Hinter diesen Angriffen steht nach Einschätzung der Forscher die chinesische APT-Gruppe „Silver Fox“ (auch bekannt als „Void Arachne“), die zuvor hauptsächlich Ziele im asiatischen Raum angriff, nun aber offenbar auch nordamerikanische Ziele ins Visier nimmt.

Die Forscher weisen darauf hin, dass infizierte DICOM-Viewer zwar primär Patienten betreffen, jedoch auch ein Risiko für Gesundheitseinrichtungen darstellen können. In realen Szenarien könnten Patienten infizierte Geräte zur Diagnose in Krankenhäuser mitbringen oder im Rahmen von „Hospital-at-Home“-Programmen nutzen, wodurch die Infektion potenziell auf klinische Systeme übergreifen könnte. Diese Art von Bedrohung ist besonders heimtückisch, da sie die traditionelle Grenze zwischen Patientengeräten und klinischen Systemen überschreitet und so eine neue Angriffsfläche schafft.

Überwachungssysteme im Visier

Bei ihrer Untersuchung entdeckten die Forscher weitere beunruhigende Fälle. Besonders alarmierend ist die Entdeckung einer mit Schadsoftware infizierten Mindray-Patientenüberwachungsstation (Central Monitoring Station, CMS). Diese Station war mit „Panda Burning Incense“ infiziert, einem chinesischen Wurm, der ursprünglich 2006 entwickelt wurde und damals über 10 Millionen Geräte infizierte.

Die CMS ist ein kritisches System für die klinische Versorgung, da sie die Vitalwerte mehrerer Patienten gleichzeitig überwacht. Besorgniserregend ist zudem, dass diese CMS mit Patientenmonitoren über eine IP-Adresse (202.114.4.119) kommuniziert, die von der amerikanischen Cybersicherheitsbehörde CISA und der FDA als mögliche chinesische Backdoor gekennzeichnet wurde.

Die Forscher fanden außerdem zwei Botnet-Samples, die gezielt nach GE Healthcare MUSE Cardiology Information Systems suchen und deren Standardzugangsdaten ausnutzen. Diese Systeme verwalten kritische kardiologische Patientendaten wie EKG-Messungen und stellen daher ein besonders sensibles Ziel dar.

Anzeichen für Probleme erkennen

Die infizierte Mindray-CMS zeigt, dass in Krankenhäusern teilweise jahrzehntealte, anfällige Systeme im Einsatz sind, die mit dem Internet verbunden sind und zahlreiche Patientenmonitore steuern.

Gesundheitswesen

Infrastruktur stark pflegebedürftig

Laut der Untersuchung wurde diese Station vermutlich von einem echten Krankenhaus eingesetzt und enthielt einen Jahrzehnte alten Wurm, was darauf hindeutet, dass sie wahrscheinlich ein veraltetes Betriebssystem verwendet und mit dem Internet verbunden ist – ein erhebliches Risiko, wenn man bedenkt, dass sie mehrere Patientenmonitore kontrolliert.

Identifizierte Malware wie Floxif/Pioneer (in den Siemens DICOM-Viewern) oder „Panda Burning Incense“ (in der Mindray-Station) sind nicht neu, werden aber gezielt für Angriffe auf Gesundheitssysteme wiederverwendet, was die besondere Anfälligkeit des Sektors unterstreicht.

Positive Erkenntnisse trotz ernsthafter Bedrohungslage

Trotz der beunruhigenden Funde gibt es auch positive Nachrichten aus der Untersuchung: Bisher wurden keine Malware-Samples entdeckt, die direkt die medizinischen Protokolle DICOM oder HL7 missbrauchen. Diese Protokolle bilden das Rückgrat der Kommunikation zwischen medizinischen Geräten und Systemen im Krankenhaus.

Die Bedrohungen für den Gesundheitssektor gehen weit über Ransomware hinaus, und die Angreifer suchen gezielt nach neuen Wegen, um speziell medizinische Anwendungen und Protokolle auszunutzen. Für Gesundheitseinrichtungen bedeutet dies, dass Cybersicherheit nicht länger als rein technisches Problem betrachtet werden kann, sondern als integraler Bestandteil des Risikomanagements verstanden werden muss – mit direkten Auswirkungen auf die Patientenversorgung und die betriebliche Kontinuität.

IT-Sicherheit

Warum sind Hacker so heiß auf medizinische Daten?

(ID:50501505)