Stryker被黑3萬臺設(shè)備變磚，CISA急喊

3月11日凌晨，Stryker的全球IT團(tuán)隊(duì)發(fā)現(xiàn)一件詭異的事：員工的手機(jī)、平板、電腦開始批量黑屏。不是系統(tǒng)更新，不是電池耗盡，是數(shù)據(jù)被遠(yuǎn)程抹除。從確認(rèn)被黑到數(shù)萬臺設(shè)備癱瘓，黑客只花了不到24小時(shí)。

這家年?duì)I收200億美元的醫(yī)療器械巨頭，栽在了一個(gè)管理面板上。

攻擊者沒有勒索軟件，沒有數(shù)據(jù)加密，甚至沒有留下勒索信。他們只是登錄了Stryker的Microsoft Intune（微軟終端管理）后臺，點(diǎn)了"恢復(fù)出廠設(shè)置"——而且是批量操作。Stryker后來承認(rèn)，全球供應(yīng)鏈、訂單、物流系統(tǒng)至今離線，但拒絕給出恢復(fù)時(shí)間表。

Intune：企業(yè)的遙控器，也是黑客的遙控器

Microsoft Intune這玩意兒，本質(zhì)上是個(gè)"企業(yè)遙控器"。IT部門用它給員工發(fā)電腦、裝軟件、設(shè)密碼，設(shè)備丟了還能遠(yuǎn)程鎖定或擦除。方便是真方便，但權(quán)限一旦泄露，它就成了黑客的批量破壞工具。

Stryker的遭遇不是孤例。CISA在3月13日的緊急通告里直接點(diǎn)名：攻擊者利用Windows網(wǎng)絡(luò)滲透，最終盯上了設(shè)備終端管理系統(tǒng)。換句話說，黑客沒攻破生產(chǎn)線，沒碰醫(yī)療設(shè)備，而是找到了一個(gè)更軟的柿子——管設(shè)備的賬號。

CISA給出的核心建議很具體：凡是能執(zhí)行"敏感或高影響操作"（比如遠(yuǎn)程擦除）的賬號，必須啟用"雙重管理員審批"。一個(gè)人想刪數(shù)據(jù)？先找同事簽個(gè)字。這聽起來像銀行金庫的兩把鑰匙，但很多企業(yè)根本沒開這個(gè)功能。

Handala：一個(gè)把"報(bào)復(fù)"寫進(jìn)名字的 hacktivist 組織

這次認(rèn)領(lǐng)攻擊的是Handala，一個(gè)親伊朗的黑客組織。名字取自巴勒斯坦民間傳說中一個(gè)背對鏡頭、雙手被綁在身后的男孩形象——象征對占領(lǐng)的抵抗。他們在Telegram上宣稱，攻擊是為了報(bào)復(fù)美軍空襲伊朗一所學(xué)校、導(dǎo)致數(shù)十名兒童死亡。

「我們進(jìn)入了Stryker的核心網(wǎng)絡(luò)，」Handala在聲明中寫道，聲稱竊取了「海量數(shù)據(jù)」，但未提供證據(jù)。諷刺的是，這個(gè)組織的官網(wǎng)在3月12日被FBI查封。攻擊者剛吹完牛，老家就被端了。

但設(shè)備已經(jīng)變磚了。Stryker的員工描述，個(gè)人手機(jī)只要連過公司W(wǎng)i-Fi或裝過工作軟件，都沒能幸免。一位不愿具名的員工在Blind論壇上吐槽：「我的iPhone成了磚頭，IT說正在'評估恢復(fù)方案'——評估了快一周了。」

為什么醫(yī)療器械公司成了靶子？

Stryker不是隨機(jī)受害者。作為全球最大的骨科和手術(shù)設(shè)備供應(yīng)商之一，它的客戶是醫(yī)院，用戶是醫(yī)生，產(chǎn)品直接進(jìn)手術(shù)室。Hacktivist選它，看中的是輿論沖擊力——攻擊醫(yī)院供應(yīng)鏈，比黑一家互聯(lián)網(wǎng)公司更能上頭條。

但技術(shù)層面，Stryker的漏洞很"普通"：Windows域被滲透，特權(quán)賬號被劫持，終端管理平臺被濫用。網(wǎng)絡(luò)安全公司Mandiant去年的一份報(bào)告指出，醫(yī)療行業(yè)的終端管理工具配置錯(cuò)誤率高達(dá)67%，"雙重審批"這類基礎(chǔ)功能往往為了"效率"而被關(guān)閉。

CISA的通告里還有一條容易被忽略的建議：定期審計(jì)哪些賬號能訪問Intune這類系統(tǒng)，以及它們的登錄地點(diǎn)和時(shí)間。很多公司的IT部門自己都記不清開了多少管理員賬號，更別談監(jiān)控異常登錄了。

Stryker至今未回應(yīng)TechCrunch的置評請求。它的競爭對手美敦力、強(qiáng)生醫(yī)療或許正在連夜檢查自己的Intune配置——畢竟，誰也不想成為下一個(gè)"被遙控器 brick（變磚）"的案例。

Handala的網(wǎng)站現(xiàn)在打開是FBI的查封通知，但他們在Telegram頻道依舊活躍，最新一條是慶祝"給美國醫(yī)療巨頭造成數(shù)億美元損失"。而Stryker的供應(yīng)鏈系統(tǒng)，據(jù)說要到下周才能部分恢復(fù)。員工們已經(jīng)學(xué)會了用個(gè)人郵箱處理訂單，IT部門則開始強(qiáng)制推行那個(gè)他們早該開的"雙重審批"功能。

一個(gè)被擦除的iPhone，恢復(fù)出廠設(shè)置后和新機(jī)沒什么兩樣。但一家公司的安全信任，擦起來容易，寫回去就難了。