De Clop-ransomware, waar onder andere de Universiteit Maastricht slachtoffer van werd, was vorig jaar zeer actief, ook al werden halverwege 2021 zes personen met betrekking tot de ransomware aangehouden. Dat laat het Amerikaanse ministerie van Volksgezondheid weten (pdf). Volgens het ministerie hebben de criminelen achter Clop honderden miljoenen dollars met hun ransomware verdiend en zijn ziekenhuizen een populair doelwit. Zorginstellingen worden onder andere via malafide medische documenten aangevallen.

In juni 2021 werden in Oekraïne zes personen aangehouden die worden verdacht van betrokkenheid bij de Clop-ransomware. Securitybedrijf Intel 471 stelde destijds dat de operatie gericht was tegen personen die zich bezighielden met het witwassen van het losgeld dat slachtoffers betaalden. De daadwerkelijke ontwikkelaars en beheerders zouden buiten schot zijn gebleven. "Het was de verwachting dat de activiteit van de Clop-ransomware in 2021, na de aanhouding van zes ransomware-operators, zou afnemen. De malware was in 2022 echter non-stop actief", aldus het ministerie in een melding aan de Amerikaans zorgsector.

Voor de verspreiding van de Clop-ransomware wordt onder andere gebruikgemaakt van besmette e-mailbijlagen. "De groep had moeite om slachtoffers te laten betalen, wat heeft geleid tot een verandering in hun tactieken, die direct invloed op de zorgsector hebben", zo stelt het ministerie. Zo maakt de groep gebruik van malafide medische documenten die in werkelijkheid besmette bestanden zijn.

Vervolgens worden deze "documenten" naar ziekenhuizen en zorginstellingen gestuurd voor het maken van een "afspraak". De aanvallers hopen zo dat het document door een zorgverlener wordt geopend. "Deze aanvallen hebben een grotere kans van slagen vanwege de uitbreiding van de eHealth-omgeving door corona", gaat het ministerie verder.