En amerikansk leverandør av teknisk utstyr til sykehus, CareFusion har lovet bot og bedring etter å ha blitt gjort oppmerksom på at programvareoppdateringer til utstyret ble distribuert fra nettsteder som infiserte sine besøkende med trojanere, heter det i en rapport fra Security News Daily.
Tilfellet ble først avslørt av professor Keng Fu på bloggen til Medical Device Security Center. Threatpost-tjenesten til Kaspersky Lab har publisert en gjennomgang av tilfellet.
Professor Keng Fu forsker spesielt på forhold rundt sikkerhet innen sykehusutstyr. Han skulle laste ned oppdatert programvare for en spesiell type respiratoriske hjelpemidler da han fikk en advarsel fra Google-tjenesten «Safe Browsing» om at nettstedet han besøkte, viasyshealthcare.com, inneholdt ondsinnet kode.
En klikk på lenken til Google Safe Browsing avslørte at 20 av 348 testede sider på nettstedet inneholdt til sammen 48 ulike trojanere som ble umerkelig overført til besøkendes pc-er.
Fu forsøkte å advare CareFusion, men kom ikke gjennom. Han tok følgelig kontakt med USAs legemiddeltilsyn FDA (Food and Drugs Administration).
Rapporten til Google viser at nettstedet fortsatt formidlet ondsinnet programvare én uke etter at han publiserte sitt innlegg.
Fu peker på at ondsinnet programvare i sykehusutstyr kan få tragiske følger, og at selskaper som distribuerer programvare via nettet må ta IT-sikkerhet på alvor.
CareFusion sa til Security News Daily 14. juni at de tar tilfellet på alvor. De forsikrer at den ondsinnede programvaren på nettstedet ikke hadde noe med programvareoppdateringen å gjøre, og at oppdatert utstyr ikke er smittet. De har ingen kommentarer til smittefaren for pc-ene som ble brukt til å laste ned oppdateringene.
Kaspersky Lab peker på at CareFusion er et internasjonalt konsern med 14 000 ansatte og en årsomsetning på rundt 3,5 milliarder dollar.
USAs departement for innenrikssikkerhet (Department of Homeland Security) har interessert seg for tilfellet. Ifølge Kaspersky har departementet avslørt at noen av nettstedene til CareFusion brukte nærmest eldgammel systemvare. ASP.NET-versjonen var seks år gammel, og webserveren var IIS versjon 6.0 (Microsoft Information Services) som ble sluppet samtidig med Windows Server 2003. Ingen av disse systemene tilfredsstiller moderne krav til sikkerhet.
