674 su sei milioni: chi bussa davvero a una porta DICOM

This article is also available in English.

Cinque settimane di honeypot pubblico, sei milioni di eventi registrati. Di questi, 674 hanno riguardato protocolli medicali: 639 sul sensore DICOM, 35 su quello HL7.

Fa lo 0,011% del totale. Un evento ogni ottomilanovecento. La porta RDP da sola ne ha collezionati due milioni, il sensore DICOM poco più di venti al giorno.

La reazione istintiva è archiviare il dato come irrilevante. Guardando la composizione di quei 674 eventi invece viene fuori l’opposto, perché non assomigliano a niente di quello che arriva sulle altre porte.

Quanto lontano sono arrivati

Dicompot, il sensore DICOM, distingue nei log tre livelli di interazione, e la distribuzione dice molto più del totale.

Cinquecentotrentadue volte qualcuno ha aperto una connessione sulla porta e l’ha chiusa, il comportamento tipico di uno scanner che verifica se la porta è aperta senza capire cosa ci sia dietro. Centoquattro volte invece l’interlocutore ha parlato DICOM sul serio, presentandosi con un AE Title, che è l’identificativo con cui i nodi DICOM si riconoscono a vicenda; per farlo serve una libreria DICOM vera, non un nc su una porta.

E tre volte, in cinque settimane, qualcuno è arrivato a scambiare dati.

Tre su sei milioni di eventi complessivi. Il mio honeypot risponde con cinquanta immagini finte a chi le chiede, e nessuno le ha chieste.

Chi c’era dietro

Centocinquantacinque indirizzi IP distinti hanno toccato la porta DICOM. La sorpresa è chi sono.

Sui 264 eventi per cui ho l’organizzazione di rete, 86 arrivano da Censys e ONYPHE, cioè il 33%. Sono due aziende che scansionano internet per mestiere, censiscono ciò che trovano e vendono o pubblicano i risultati come attack surface intelligence. Non stanno attaccando nessuno: stanno costruendo una mappa. Su HL7 la proporzione è simile, con Modat e ONYPHE che fanno dieci eventi su trentacinque.

Il resto si divide fra provider cloud (Google, Akamai) e una coda lunga di hoster minori. Sui 266 eventi che portano con sé un indirizzo sorgente, 126 vengono da IP già segnalati come attaccanti noti, 33 da scanner di massa, e 107 da indirizzi che non risultano in nessun database di reputazione. Quel 40% è il pezzo che vale la pena guardare, perché sono connessioni che nessun blocklist fermerebbe.

Va detto che i numeri sulla reputazione soffrono di un limite del formato dei log: solo le righe di tipo “Connection from” trasportano l’IP, quindi la statistica copre 266 eventi sui 639 totali. È un campione, non il censimento.

HL7 è un altro pianeta

Il sensore Medpot, che emula un endpoint HL7 per i messaggi clinici, ha visto 35 eventi in venticinque giorni. Uno ogni diciotto ore. Ventuno indirizzi diversi.

Su questi numeri la statistica dice poco, ma una cosa salta all’occhio: venti eventi su trentacinque arrivano dal Brasile, il 57%, e gli operatori dietro quegli IP sono provider brasiliani di medie dimensioni (IPVDATA, Nova Serv, TASCOM, SKYMAX). Il Brasile nel traffico complessivo dell’honeypot è secondo dopo gli Stati Uniti, quindi una presenza è attesa; ma non con questa concentrazione.

Non ho una spiegazione, e preferisco dirlo piuttosto che costruirne una a posteriori. Potrebbe essere un singolo attore che ruota su più provider dello stesso paese, potrebbe essere una campagna regionale, potrebbe essere rumore statistico su un campione di trentacinque eventi. Con più dati si vedrà.

C’è però un incrocio che vale la pena segnalare: l’IP 200.219.11.123 compare sia su DICOM (16 eventi) sia su HL7 (8), ed è il primo su entrambi i sensori. Stesso discorso per 191.242.209.98, che ne fa sei sul primo e cinque sul secondo. Qualcuno sta verificando in modo sistematico più protocolli medicali sullo stesso bersaglio, il che è un comportamento diverso dallo scanner che prova diecimila porte a caso.

Il rapporto segnale-rumore è invertito

Qui c’è la parte che secondo me conta davvero per chi difende una rete ospedaliera.

Sulla porta 3389 il mio honeypot ha preso due milioni di eventi in cinque settimane. Un alert lì dentro non significa niente: è il rumore di fondo permanente di qualunque indirizzo pubblico, e chiunque provi a monitorarlo seriamente affoga nei falsi positivi entro un pomeriggio.

Sulla 11112 ne ho presi 639, di cui 104 con un handshake DICOM vero. Nessuno scanner generico prova la porta 11112 sperando in un colpo di fortuna, perché DICOM non sta nei dizionari di scansione di massa. Chi arriva fin lì, e soprattutto chi si presenta con un AE Title, o è un motore di ricerca che censisce internet o sa esattamente cosa sta cercando.

Ne segue una cosa controintuitiva: la porta meno attaccata è quella dove il monitoraggio rende di più. Su RDP servono correlazione, soglie e tanta pazienza per estrarre qualcosa di utile. Su DICOM ogni singolo evento è potenzialmente significativo, e una regola di detection banale (“qualsiasi connessione dall’esterno alla porta DICOM”) produce pochi allarmi e quasi nessun falso positivo. Costa poco implementarla e non la implementa quasi nessuno.

Cosa questi dati non dicono

Il mio server non sembra un ospedale. Si chiama lupercus-honeypot, non ha un record DNS che rimandi a una struttura sanitaria, non sta in un blocco di indirizzi assegnato a un’azienda ospedaliera, e non c’è niente che suggerisca a un attaccante che dietro ci siano dati clinici veri.

Questo significa che ho misurato la scansione opportunistica, non quella mirata. Un attaccante che fa ricognizione prima di agire, che parte da un elenco di aziende sanitarie e ne mappa gli indirizzi pubblici, il mio honeypot non lo troverebbe mai interessante. I 674 eventi sono un pavimento, non un soffitto: dicono quanto traffico raggiunge una porta medicale per puro caso, e nulla su quanto ne riceve un PACS ospedaliero con un nome che lo dichiara.

È un limite strutturale di questo esperimento, e va tenuto presente prima di trarne conclusioni rassicuranti.

Da qui in avanti

I sensori continuano a raccogliere. Con sei settimane in più di dati, entro l’autunno, alcune delle domande aperte diventano rispondibili: se la concentrazione brasiliana su HL7 regge, se gli IP che toccano entrambi i protocolli tornano, e soprattutto se quei tre scambi di dati DICOM restano un’anomalia isolata.

Nel frattempo il blog rallenta. I recap settimanali finiscono qui, sia perché dopo cinque settimane direbbero le stesse cose con numeri diversi, sia perché il 25 agosto sostengo l’esame CompTIA Security+ e le prossime quattro settimane vanno lì. Da settembre si torna con analisi mensili, una per volta su un tema solo.

Dati raccolti fra il 27 giugno e il 26 luglio 2026 con T-Pot di telekom-security su Hetzner Cloud. I sensori medicali sono Dicompot (DICOM, porte 104 e 11112) e Medpot (HL7, porta 2575).