【雲智維資安威脅趨勢】

資安威脅趨勢 - 醫院遭CrazyHunter勒索軟體持續攻擊

一、摘要
2025年2月9日至11日，OO醫院、遭受CrazyHunter勒索軟體攻擊，導致超過600台電腦受影響，掛號系統中斷，影響病患就醫。駭客透過AD主機發動攻擊，利用弱密碼取得權限並進行大範圍加密勒索

二、存在風險
此次攻擊事件對ＯＯ醫院的急診室與掛號系統已受到影響，雖然醫療作業仍可運行，但若攻擊持續，可能導致更大範圍的醫療業務受影響，甚至影響病患的就醫權益。

雖然目前尚未發現病人個資外洩，但勒索軟體的攻擊特性通常涉及數據加密與竊取，醫療數據可能面臨被竊取、加密或公開的風險。

更值得關注的是，駭客已揚言將於2月11日傍晚進一步發動攻擊，顯示此次攻擊可能具有持續性，甚至擴大至其他醫療機構。

• 攻擊方式：

• 透過Active Directory（AD）主機發送惡意程式
• 弱密碼漏洞攻擊取得帳號權限
• 部署CrazyHunter勒索軟體進行檔案加密

• IOC ：

1. av-1m.exe
   • EE854E9F98D0DF34C34551819889336C16B9BFE76E391356CB17B55D59CF28CF
2. av.exe
   • 3B2081042038C870B1A52C5D5BE965B03B8DD1C2E6D1B56E5EBB7CF3C157138D
3. bb.exe
   • 2CC975FDB21F6DD20775AA52C7B3DB6866C50761E22338B08FFC7F7748B2ACAA
4. crazyhunter.exe
   • F72C03D37DB77E8C6959B293CE81D009BF1C85F7D3BDAA4F873D3241833C146B
5. crazyhunter.sys
   • 5316060745271723C9934047155DAE95A3920CB6343CA08C93531E1C235861BA
6. CrazeHunter.zip
   • D202B3E3E55DF4E424F497BA864AB772BAAF2B8FE10B578C640477F8A8A8610C
7. zam64.sys
   • 2BBC6B9DD5E6D0327250B32305BE20C89B19B56D33A096522EE33F22D8C82FF1
   • BDF05106F456EE56F97D3EE08E9548C575FC3188AC15C5CE00492E4378045825
8. go.exe
   • 754D5C0C494099B72C050E745DDE45EE4F6195C1F559A0F3A0FDDBA353004DB6
9. go2.exe
   • 983F5346756D61FEC35DF3E6E773FF43973EB96AABAA8094DCBFB5CA17821C81
10. go3.exe
    • F72C03D37DB77E8C6959B293CE81D009BF1C85F7D3BDAA4F873D3241833C146B
11. ru.bat
    • 15160416EC919E0B1A9F2C0DC8D8DC044F696B5B4F94A73EC2AC9D61DBC98D32
    • 731906E699ADDC79E674AB5713C44B917B35CB1EABF11B94C0E9AD954CB1C666
12. ta.bat
    • 527ED180062E2D92B17FF72EA546BB5F8A85AD8B495E5B0C08B6637B9998ACF2

• 建議改善措施：

• 將 Hash 加至端點防禦設施，進行盤點及移除
• 強化AD帳號密碼策略，避免使用弱密碼
• 更新防毒軟體與EDR，提升威脅偵測能力
• 落實內網網段隔離，防止攻擊橫向移動
• 定期備份重要資料，確保可快速復原
• 儘速導入雲智維服務，進行資安威脅情資偵測與聯防，降低企業資安風險。

情資報告連結：

https://hisac.nat.gov.tw/news?265
IOC_CrazyHunter勒索病毒_情資.xlsx