Hoofdcategorieën

Platleggen ziekenhuis doet botnet-eigenaar das om

Door Arie Jan Stapel, woensdag 15 februari 2006 11:13
Bron: InformationWeek, submitter: dtech, views: 32.625

De 20-jarige Christopher Maxwell uit Californië is afgelopen vrijdag aangeklaagd wegens het creëren en gebruiken van een botnet, een verzameling gehackte computers, waarmee hij massaal zonder instemming van de gebruikers advertentiesoftware installeerde op andere computers. De software vertoonde op gezette tijden pop-ups met reclame, en iedere keer dat dit gebeurde kreeg de man een klein bedrag betaald. Op die manier verdiende hij, samen met twee anderen, ongeveer 100.000 dollar.

In januari 2005 deed het botnet een aanval op het Northwest Hospital in Seattle. De gevolgen waren nogal ernstig: de computers van de intensive care gingen plat, de piepers van de dokters deden het niet meer en er werd voor 150.000 dollar schade aangericht. Volgens de aanklager is hiermee duidelijk geworden dat botnets niet alleen ergernis veroorzaken, maar zelfs levensbedreigend kunnen zijn. In de aanklacht wordt Maxwell beschuldigd van computerfraude en het opzettelijk veroorzaken van schade aan een beveiligde computer. Als hij schuldig wordt bevonden kan hij maximaal tien jaar celstraf en een geldboete van 250.000 dollar krijgen.

Hacker

Volgende 13:03
Vorige 08:31

Reacties

«  1  2  3  »

Één wijze les, met mensenlevens moet je niet sollen.
Verder valt deze boete mee voor amerikaanse begrippen.

Achter slot en grendel deze grapjas :r

Hij heeft niet bewust met mensenlevens gesolt. Hij heeft bewust computers "beschadigd". Dat dit als gevolg kan hebben dat mensenlevens op het spel komen te staan wist hij/had hij niet verwacht. Daarom zou de wijze les moeten zijn:

"Sollen met computers is letterlijk levensgevaarlijk"

Dat hij achter slot en grendel moet is inderdaad duidelijk.

Of zou de wijze les eigenlijk niet moeten zijn ...

... dat kritische computers (intensive care ...) niet aan het internet mogen hangen !

Ik denk eerder dat deze pc's niet rechtstreeks op het internet zijn aangesloten, maar dat deze zijn opgenomen in een bedrijfsnetwerk wat slecht beveiligd is, waarbij andere pc's op dit netwerk eventueel wel gekoppeld zijn aan een internet verbinding

Ik mag aan nemen dat hij technisch niet veroordeeld kan worden op het feit dat hij een 'beveiligde' set computers heeft 'gekraakt'.
Ik denk dat er beveiliging te weinig gedaan is in dat ziekenhuis en dat die machines misbruikt zijn, wat niet altijd betekent dat je ze kraakt. Wel mega-irriteert.

Volgens mij klinkt het eerder als een ongeluk of op zijn minst, niet direct de bedoeling om de IC computers te misbruiken voor deze doeleinden.

denk dat ie spam wou op de hart-monitors
biep
biep
eBay
biep
biep

of misschien bij houden wanneer de IC mensen naar huis gaan zodat ze viagra aangeboden kunnen krijgen.

Ik denk eerder dat ze het gewoon moet, want zoiets moet toch remote benaderbaar kunnen zijn om op afstand de client te kunnen bekijken of zit ik dan vreemd te denken.

@Kornboy: Dan bellen ze in met een telefoonmodem. Een directe verbinding met het ziekenhuis en een geisoleerd intranet. Dat, en aparte computers in het ziekenhuis voor internet toegang. Mja meneer de dokter wil natuurlijk emailen vanaf z'n eigen computer en virussen kunnen openen, en ook direct bij het intranet kunnen.

Misschien is deze aanval ook een les voor de ziekenhuizen. Het moet immers wel vaker eerst mis gaan voordat dingen beter aangepakt worden.

Computers in de IC zullen met andere systemen moeten kunnen communiceren. (al was het maar zo dat men als de patient naar een andere afdeling gaat weet welke medicijnen de patient op de IC kreeg)

Daarnaast heb je voor bv het raadplegen van artsen in andere ziekenhuizen een redelijke internet(vpn) verbinding nodig. Patient dossiers, foto's e.d. uitwisselen gaat niet lekker via een 56k6 modem. Huurlijnen zijn eigenlijk ook geen oplossing aangezien je met meerdere ziekenhuizen moet communiceren.

De keuze is dus of je twee gescheiden netwerken maakt of alles op 1 lan kwakt.Hierbij is het dan de vraag hoe verweven de functionaliteit van een IC computer is met de externe toegang. Het kan best zo zijn dat een scheiding van de netwerken ten koste gaat van de dagelijkse zorg. En dan moet je dus het risico van een hacker afwegen tegen de voordelen voor de patient.

Maar een goede firewall en AV oplossing kan natuurlijk helpen de kansen van een hacker te verkleinen. Ik denk dan ook dat de ITers in ziekenhuizen deze case moeten aangrijpen om hun managers van dit probleem te overtuigen, de eigen beveiliging onder de loep te (laten) nemen en de beveiliging eventueel te verbeteren.

Ooit al van VPN gehoord met een certificaat ?
(8>

tja...volgens mij hangen ze dan 'gewoon' aan het internet... :Z

@Pietje Puk: Grotendeels geef ik je gelijk maar: Ik denk dat computers die vitale functies moeten bijhouden niet aangesloten moeten zijn op het grote intranet! Hiervoor zou idd een apart intranet moeten worden aangelegd waardoor er vanuit de verpleegsters/artsenposten op de afdeling kan worden bijgehouden hoe het met welke patient gaat op welk ogenblik zonder perse heen en weer te moeten lopen en eventueel aanpassingen te maken indien nodig!

Hiernaast moeten dan de gegevens zoals medicatie in het "normale" systeem worden opgenomen en dat is dan weer aangesloten op de "buitenwereld" opdat deze gegevens "vrij" opvraagbaar zijn voor iedereen die dat nodig heeft!

Dit betekent dan idd twee aparte netwerken maar dat is voor de veiligheid zowiezo beter lijkt mij! Ook lijkt het mij beter om computers die vitale functies bewaken dedicated te laten zijn en daar dus geen uitgebreid OS op te laten installeren! Een hoop functies van een OS zijn namelijk volledig irrelevant voor dat soort computers!

Dat een ziekenhuis zowiezo een goede Firewall en AV oplossing moet hebben lijkt mij niet meer dan normaal en daar ga ik dan ook volledig met jou, en anderen, mee!

@sangdrax

Ik vind dat je daar ook een goed punt hebt.

Hopelijk kijkt niet alleen dit ziekenhuis, maar meerdere instanties naar de beveiling. Dat ze er een lesje van hebben geleerd en niet alleen denken 'schorem, doe dat niet! En nu dokke!'.

Misschien gaan ze zich toch afvragen of het wel zo verstandig is om er te makkelijk over te denken.

Ik wil hier geen MS bashing of wat dan ook gaan beginnen,
maar als ze nou is geld gingen investeren in algemene beiliging, aangezien MS daar iets minder goed is. Of misschien is het wel een idee om kritische systemen niet meer met windows uit te rusten.

Als ze mij ooit aan een hartmonitor hangen die winCE oid draait .... omg daar wil ik nog nie eens aan denken : )

Dat vind ik een te mild oordeel. Sollen met computers die oa. gebruikt worden voor het redden van mensenlevens (zoals in een ziekenhuis) is vragen om moeilijkheden.

Dat heet voorwaardelijke opzet, of mogelijkheidsbewustzijn. Als je zelfs maar eens aan de mogelijkheid hebt gedacht, en deze onterecht hebt verworpen, ben je je juridisch bewust geweest van het gevolg, en had je nooit tot die actie mogen overgaan, zonder jezelf van de gevolgen te vergewissen.

Voorzienbaarheid heeft daar weinig mee te maken: je bent verantwoordelijk voor je daden.

Maar hij wordt niet aangeklaagd voor levensdelicten, maar voor computerfraude en vernieling dus is dat hier zowiezo irrelevant.

Net als wanneer je bezopen in een auto gaat rijden je niet opzettelijk iemand dood rijdt?

Naar mijn idee heeft hij wel degelijk bewust met mensenlevens gesold. Als jij een ziekenhuis op stelten zet door de -soms kritieke- systemen te saboteren en je niet eens denkt aan de mogelijkheid dat dat dit een negatieve weerslag kan hebben op patienten (en dus de dood kan betekenen voor mensen op de IC), ben je imho behoorlijk achterlijk.

@Memphis:
Klopt helemaal. Ik vind dus ook dat zij zware misdaden plegen. Kijk maar naar de miljoenen schade die zijn aanrichten. Mensenlevens kun je niet in geld uitdrukken, maar dat geld had wel beter besteed kunnen worden.

@blouwKip:
Hoezo had hij redelijkerwijs niet kunnen weten dat het ziekenhuis zichzelf slecht had beveiligd? Een beetje computerdeskundige weet dat de beveiliging over het algemeen erg beroerd is... Maar daarvan afgezien is (naar mijn mening) altijd nog de dader schuldig, en het slachtoffer onschuldig. Je schuift nu bijna het ziekenhuis de schuld in de schoenen ("Tja, ik schoot op zijn borst, ik had redelijkerwijs niet kunnen weten dat hij geen kogelvrij vest aan had").

Wat je zegt over precedent zal best wel kloppen, maar dat vind ik eigenlijk nog belachelijker (niet naar jou bedoelt, maar naar de wet): als hacker zijn lijkt het me logischer dat je zelf verzint wat je op de hals haalt, dan dat je gaat kijken naar evt. precedenten. m.a.w. Als je nu niet weet wat voor schade je aan kan richten en daarom vrijuit gaat, vind ik het onlogisch dat de volgende persoon die dit flikt WEL gestraft wordt. Ik weet hoe precedenten werken en ben het er ook niet mee eens, maar in dit geval vind ik het een beetje "De eerste die een dode veroorzaakt krijgt een get-out-of-jail-free-card". Niet dat de wet er iets om geeft wat ik vind, but just my 2 cents.

@MarvinDMartian:
Misschien heeft hij niet bewust een ziekenhuis aangevallen. Maar op het moment dat jij een botnet programmeert en loslaat op de wereld, ben jij naar mijn mening verantwoordelijk voor alles wat deze botnet doet. Daarom moet je het ook maar niet doen ;)
offtopic:
Dit doet me denken aan een (waargebeurde) zaak waarin een bankrover zo zenuwachtig was dat hij per ongeluk van de stress een man doodschoot. Hij werd beschuldigt van doodslag en niet van moord, omdat hij 'per ongeluk' de man neerschoot.
Dit vind ik belachelijk, imho verdient deze man de maximum straf omdat hij met geladen pistool naar binnen was gelopen. Als hij zichzelf niet kan beheersen, had hij gewoon een ongeladen pistool mee moeten nemen. Hij kiest ervoor om wel een geladen pistool mee te nemen (en dan is de kans op ongelukken gewoon groter) dan zijn de consequenties imho gewoon voor eigen risico.

Maar ja, in een land waar je je roofwapens kan declareren en waar we criminelen opsluiten om ze te behoeden voor liquidatie, ben ik natuurlijk veel te streng. :o

Maar dat doen inweze alle virusschrijvers welke tegenwoordig ook in opdracht van spammers werken.

Het internet is verziekt en speelt de basis van de agresieve commerciele handel. :(

Ik ben het daar niet mee eens, hij had redelijkerwijs niet kunnen weten dat het ziekenhuis zichzelf dermate slecht beveiligd had dat deze uitkomst mogelijk was, piepers die niet meer werken en een ic die problemen heeft, dat is dus echt een ziekenhuis waar men na dit geintje alle ict-ers de deur uit moet schoppen

heeft hij bewust een ziekenhuis aangevallen? Heeft zijn botnet niet, al trial-&-error'end, toevallig een ziekenhuis getroffen? If so, dan heeft hij het niet bewust gedaan.

Voor zover ik kan zien nog steeds reckless endangerment, omdat je weet als je willekeurige computers aanvalt je (theoretisch) een van ziekenhuis, defensie of verkeersregeling kan treffen. Vooral belangrijk dat deze zin in het vonnis terechtkomt, omdat je dan een precedent hebt: ook als je met je volgende botnet GEEN levens in gevaar brengt, is het vanaf nu officieel geweten dat dat kan en mag je als hacker verondersteld worden dat te hebben voorzien als mogelijkheid en desondanks je aanval gepleegd.

@ blouwekip & tob-rob
Hij had redelijkerwijs kunnen weten dat er in het ziekenhuis ernstig zieke mensen liggen die afhankelijk zijn van zorg. Als je daarbij enige apparatuur verstoord (al zijn het maar de piepers) heeft dat de nodige nadelige effecten (ongeacht de grootte). Zoiets weet iedereen tegenwoordig, zelfs de nono's op ICT gebied.

@ MarvinDMartian
Zoals het artikel al zegt is een botnet ingezet om de ICT infrastructuur van een ziekenhuis aan te vallen. Dat is dus zeer bewust gedaan en niet willekeurig.

Ontslaat het ziekenhuis echter niet van hun eigen verantwoordelijkheid t.o.v. hun ICT beleid en security. Die hebben imho ook aardig wat uit te leggen.

Misschien past (onbewuste?) poging tot moord er nog bij? In Amerika kan alles...

Één wijze les, met mensenlevens moet je niet sollen.
Als je toch maar een les leert, had ik gehoopt dat je een andere zou leren: de beveiliging van computersystemen is (in dit ziekenhuis) niet in orde.

10 jaar maar....hmm opsluiten en sleutel weggooien, dit gaat werkelijk nergens meer over, kort gezegd geld verdienen over "letterlijk" de rug van een ander. :( :(

Onbegrijpelijk dat een intensive care PC op het gewone netwerk zit aangesloten ?!

dat zal wel moeten lijkt me om de pagers te bedienen.


modem -> sms/pager server -> switch -> IC pc's

zo kan je dan sms/pagen via die ene server

nu zal die pager server dan wss weer aan een monitoring netwerk hangen ofzo.

trouwens, er zei iemand dat het wss onbewust was gebeurt dat dat ziekenhuis plat ging of dat hij het niet wist dat het gevaarlijk was.
het lijkt me toch vrij duidelijk dat je iets kan plat gooien hiermee en het lijkt me nog duidelijker dat als je de IC plat gooit dat dat levensgevaarlijk is
imho is dit gewoon poging tot moord :/

Wel eens van een firewall gehoord? Daarmee kan je zo een stukje netwerk prima afschermen van de rest van het netwerk en alleen waarschuwingberichten doorlaten...

daar heb ik inderdaad al eens van gehoord.

heb jij het artikel al eens gelezen?
In de aanklacht wordt Maxwell beschuldigd van computerfraude en het opzettelijk veroorzaken van schade aan een beveiligde computer.
beveiligde computer.... stiekem ga ik er dan vanuit dat er wel een FW enzo op die pc's stonden

allemaal heel leuk hier dat de nerds weer met "firewall" lopen zwaaien, maar ik vergelijk een computer met een huis, zelf al is de deur los mag je niet zomaar naar binnen lopen! (zo staat het in de wet)

beveiliging is iets typisch voor deze tijd, maar eigenlijk is het de omgekeerde wereld

waarom zou een bedrijf, ziekenhuis,... duizenden $ moeten investeren in dingen die ze eigenlijk niet nodig hebben? ziekenhuisen investeren liever in personeel, dokters, extra toestellen,... logisch dus dat de beveiliging van het computernetwerk dan wat minder is

men zou veel meer dergelijke zaken moeten opsporen en met harde straffen werken (10 jaar zoals er staat bv), het kan toch gewoon niet dat al die hacks op het internet onbestraft gaan

internet is "anoniem", maar dit heeft dus ook veel nadelen blijkt alweer

Weliswaar stelt de wet dat je niet in een computer mag inbreken, maar er is toen tegelijk afgesproken dat enige waarschuwing cq. hindering wel verplicht was om een overtreding duidelijk te maken. Dus hangt dit argument af van de manier waarop de pc's van dat ziekenhuis bereikbaar waren.

Dat is echter niet het hele verhaal. Ik vermoed, gezien de aanklacht, dat de dader totaal niet wist dat het een ziekenhuis betrof. Anderzijds is dat geen excuus, en waren de gevolgen potentieel fataal. Dus vind ik het jammer dat een zwaardere aanklacht niet mogelijk was. En gezien de USA praktijk denk ik dat als ze ook maar half voor doodslag hadden kunnen aanklagen, dat dat ook wel gebeurd was!

@catfish ziekenhuizen, bedrijven etc zouden moeten investeren om een heel simpele reden. het is uitermate hypocriet om ervan uit te gaan dat er met jou niets zal gebeuren. er zijn mensen die zeker met opzet jou proberen te hacken/dossen/whatsoever maar het kan net zo goed perongelijk gebeuren.
wat nog erger is, is dat ziekenhuizen uiterst nonchalant met beveiliging omgaan. er /. stonden een berichten van een paar ziekenhuismedewerkers en die beschreven zelfs dat specifieke software op de standaard instellingen nog stonden. nu geloof ik best dat je niet veel hoeft te doen om iemand buiten te houden maar helemaal niets is toch een ander verhaal.
beveiliging en zeker critische onderdelen mag je niet te los nemen. hij is schuldig zeker maar de admins zijn er niet veel beter af imo dat zij zoiets toe kunnen laten.

Een firewall is niks waard als de pager service zo lek als een mandje is. Dan is er maar 1 'normaal' request met een recursieve payload (een bericht dat zichzelf weer verstuurd) genoeg.

Onbegrijpelijk dat een intensive care PC op het gewone netwerk zit aangesloten ?!
Je moet je misschien afvragen WAT voor intensive care PC's er aangesloten waren op het internet. Ik denk eerlijk gezegd niet dat computers die direct gebruikt worden bij het in leven houden van patienten daar onder vallen. Het zullen eerder administratieve PC's geweest zijn. Daar kun je natuurlijk nog steeds de nodige schade mee aanrichten maar het is dan al wat minder bedreigend voor patienten als wat in het artikel wordt gesuggereerd.

Tenzij ze via die PC's doktoren oppiepen als iemand dood ligt te gaan...

Je moet je misschien afvragen WAT voor intensive care PC's er aangesloten waren op het internet. Ik denk eerlijk gezegd niet dat computers die direct gebruikt worden bij het in leven houden van patienten daar onder vallen.
Ik denk dat er afgezien van de firewalls weinig PCs aan het internet hebben gehangen. De PC's van de intensive care moeten hoe dan ook aan een netwerk hangen: op het moment dat zo'n PC crasht of afwijkingen constateert van de "gebruiker" die "eraan hangt" moet er toch een signaal verzonden kunnen worden.

De term "beveiligde PCs" in het artikel vind ik twijfelachtig: wanneer is een PC beveiligd? als er een virusscanner op staat? Of als er geen virusscanner op staat maar wel de firewall van SP2? of als er helemaal niets op staat maar de PC achter een andere firewall hangt? Of ... :? Ik zou die definitie wel eens willen zien die hiervoor gebruikt wordt: hoe slechter de definitie hoe eerder hackers en spammers met dit artikel vervolgt kunnen worden namelijk... :)

Dit is op z'n minst ook laakbaar handelen van het ziekenhuis in casu. Iedere sukkel van een netwerkbeheerder/inrichter weet dat je kritische systemen niet op een zodanige manier moet inrichten dat ze afhankelijk zijn van dezelfde infra als de "kantoor" pc's...

tja je moet iets doen als je werkeloos bent he :)

Beter zoek je dan echt werk ipv een ziekenhuis plat te leggen waar mensenlevens op het spel kunnen staan |:(

Ik denk dat achter slot en grendel een goed voorbeeld stelt, maar toch aan de zware kant is. Natuurlijk is de aanval op het ziekenhuis niet goed te praten en zijn botnets blijkbaar levengevaarlijk, maar ik denk dat vanachter je PC in je slaapkamer dat helemaal niet tot je doordringt.

Hij wou gewoon met wat hackwerk een flinke duit verdienen, wetende dat hij veel mensen overlast bezorge, maar niet wetende dat het zulke grote consequenties zou hebben.

PS: mocht hij daadwerkelijk bewust het ziekenhuis hebben aangevallen, dan heb ik neits gezegd ;)

mocht hij daadwerkelijk bewust het ziekenhuis hebben aangevallen, dan heb ik neits gezegd
Tja, natuurlijk heeft hij bewust het ziekenhuis aangevallen. Zoals eerder opgemerkt, heeft hij alleen niet goed aan de consquenties gedacht.

M.i. moet deze Maxwell gewoon veroordeeld worden als een 'reguliere' hacker.

Dat een dergelijke security policy in een ziekenhuis dit toelaat is natuurlijk schandalig. Ik ken minder kritieke bedrijfssituaties, waar de security beter is geregeld.

FYI wanneer een IC patient had te komen overlijden was hier sprake van 'dood door schuld' maar niet van 'doodslag'. Tenzij kan worden aangetoond dat het de intensie was om mensen om het leven te helpen.

Waarom staan er pc's die je leven in gaten houden in godsnaam aangesloten op internet?

Dat staan ze wellicht niet, maar dacht je niet dat de PC die de pieper van een arts kan laten afgaan bijna net zo belangrijk is voor mensenlevens?

Hoe dom kun je zijn, dit gaat echt ver. Aan de andere kant, het is volgens mij ook niet heel erg slim om een ziekenhuis netwerk zo makkelijk toegankelijk te maken, natuurlijk neemt dit niet weg dat je er misbruik van moet maken want zelfs de persoon met het minste verstand snapt wel dat dit veel en veel te ver buiten de perken gaat. Maar toch dat je hele afdelingen zo makkelijk plat kun krijgen verbaasd mij, je bent je leven zelfs daar niet veilig omdat alles zo lek is als een mandje, fijn is dat als je op de IC ligt |:(

Ik vindt het een beetje verbazingwekkend dat dergelijke computers een internet verbinding hebben of niet beter beveiligd zijn. Verder moet iemand die dergelijke praktijken uitvoert ongenadig gestraft worden.

Die pc's hoeven toch niet allemaal op het internet aangesloten te zijn, maar kunnen toch ook via het netwerk besmet worden?

Daar heeft men hele mooie DMZ en firewall constructies voor. Ik ga er vanuit dat dit ziekenhuis deze zaken niet goed op orde heeft.

Wat dat aangaat heeft deze attack dus toch nog een positief punt. Er zijn geen fatale gevallen geweest, dus een kordaat ingrijpen zal ergere situaties in de nabije toekomst kunnen voorkomen.

Laten we wel wezen, als je als ziekenhuis in Amerika wordt 'gesued', dan ben je niet blij met die financiele gevolgen...

Zou het niet eens tijd worden om de adverteerders die gebruikmaken van dit soort botnets aansprakelijk te stellen?

hoe wil je dit doen? zelfde probleem als ze al tijden hebben met de mensen die de chemische stoffen leveren voor bepaalde figuren... zelfde als de pistolen fabrikant aansprakelijk stellen omdat ik daar een pistool kan kopen.

de adverteerder dwingt hem niet om het op die manier te doen, kan wel... hoeft niet ;)

Nou, heling is ook strafbaar. Als ik op straat een fiets aangeboden krijg voor ¤5 dan kan ik gestraft worden omdat ik redelijkerwijs kan verwachten dat de fiets gestolen is. Zou zoiets niet ook bij adverteren via botnets kunnen? Dat de adverteerder veroordeeld wordt omdat ze hadden kunnen weten dat transacties in schimmige IRC-kanalen meestal illegaal zijn?

Veel reclame diensten werken simpelweg per getoonde ad of per klik. Die bedrijven huren simpelweg een marketing bedrijf of een "direct marketing" bedrijf in om reclame voor hun te maken via hun "netwerk". Dat bedrijf bestaat uit dit soort mongeaulen die er dan voor kiezen om hiervoor dit soort methodes te gebruiken. Er zijn echter ook gewoon legale methodes voor. Tweakers heeft, of zou kunnen hebben (geen zin om te kijken) ook advertenties, deze zouden ze ook kunnen krijgen van zo'n bedrijf, en daarmee een deel van de fee kunnen opstrijken. Het originele bedrijf kan opzich niks verweten worden, behalve dat een beetje oplettende marketing manager wel even zal opzoeken/op blijven letten wat voor nieuws er over hun partners bekent word en dan kan het feest snel afgelopen zijn.
«  1  2  3  »

Op dit item kan niet meer gereageerd worden.

Volgende 13:03
Vorige 08:31
VNU Media logo Powered by True

© 1998 - 2008 Tweakers.net - Alle rechten voorbehouden

Uitgever van: