Iran-gesteunde hackers vernietigen data bij medisch techbedrijf Stryker

Een hackergroep met connecties naar de Iraanse inlichtingendiensten, Handala (ook bekend als Handala Hack Team), heeft een grootschalige datadestructie-aanval uitgevoerd op Stryker, een toonaangevend medisch technologiebedrijf met hoofdkantoor in Michigan, VS.

Volgens berichten uit Ierland, waar Stryker haar grootste buitenlandse vestiging heeft, zijn meer dan 5.000 medewerkers naar huis gestuurd. Tegelijkertijd meldt een voicemail bij het Amerikaanse hoofdkantoor een noodsituatie in het gebouw.

Stryker, genoteerd aan de NYSE onder symbool SYK, produceert medische en chirurgische apparatuur en behaalde vorig jaar een omzet van $25 miljard. In een uitgebreide verklaring op Telegram beweert Handala dat kantoren in 79 landen zijn gesloten na een aanval waarbij data op meer dan 200.000 systemen, servers en mobiele apparaten zijn gewist.

"Alle verkregen data is nu in handen van de vrije wereld, klaar om te worden gebruikt voor de ware vooruitgang van de mensheid en het blootleggen van onrecht en corruptie," aldus een deel van de verklaring van Handala.

De hackergroep rechtvaardigt de aanval als vergelding voor een Tomaahawk-raketaanval op 28 februari op een Iraanse school, waarbij minstens 175 mensen, voornamelijk kinderen, omkwamen. Volgens The New York Times is de VS verantwoordelijk voor deze aanval.

Handala staat op de radar van cyberbeveiligingsbedrijf Palo Alto Networks, dat de groep koppelt aan het Iraanse Ministerie van Inlichtingen en Veiligheid (MOIS). Palo Alto meldt dat Handala sinds eind 2023 actief is en mogelijk een online persona is van Void Manticore, een door MOIS gesteunde actor.

Impact op Stryker

Stryker telt wereldwijd 56.000 medewerkers in 61 landen. Een telefoongesprek met het mediacontact van het hoofdkantoor in Michigan leidde naar een voicemail met de mededeling: "We ervaren momenteel een noodsituatie in het gebouw. Probeer het later nogmaals."

Uit een rapport van Irish Examiner blijkt dat medewerkers in Ierland via WhatsApp communiceren over de terugkeer naar werk. Een anonieme bron zei dat alles wat met het netwerk verbonden is, uitgeschakeld is en dat persoonlijke apparaten met Microsoft Outlook zijn gewist.

Meerdere bronnen bevestigen dat systemen op het hoofdkantoor in Cork zijn uitgeschakeld en dat Stryker-apparaten van medewerkers zijn gewist. De inlogpagina’s van deze apparaten zijn voorzien van het Handala-logo.

Hoe vond de aanval plaats?

Wiper-aanvallen zijn gericht op het overschrijven van data op geïnfecteerde apparaten. Een betrouwbare bron met kennis van de aanval, die anoniem wilde blijven, vertelde aan KrebsOnSecurity dat de daders in dit geval gebruikmaakten van Microsoft Intune, een cloudgebaseerde dienst. Hiermee werd een op afstand wissen-commando uitgevoerd op alle verbonden apparaten.