Krebs ergänzen oder löschen: Malware manipuliert CT-Scans von Patienten
Forscher aus Israel haben eine Malware entwickelt, die auf schwerwiegende Sicherheitslücken in bildgebenden Verfahren in der Medizin aufmerksam machen soll. Mit der Malware ist es ihnen möglich gewesen, auf CT-Scans von Patienten Krebsgeschwüre hinzuzufügen oder auch zu entfernen, ohne dass es Radiologen aufgefallen ist.
Die Kritik der Forscher bezieht sich einerseits auf die bildgebenden Maschinen im Bereich der Computertomographie (CT) und Magnetresonanztomographie (MRT) selbst, andererseits aber auch auf die Netzwerke, die zur Übertragung dieser Bilder genutzt werden. Die Wissenschaftler des Cyber Security Research Center der Ben-Gurion Universität in Israel haben ihre Forschungsergebnisse und die Möglichkeiten zur Manipulation der Malware anschaulich auch in einem Video festgehalten und auf YouTube veröffentlicht. Im Beispiel fügen die Forscher in unauffällige CT-Scans Lungenkrebs ein und entfernen ihn bei auffälligen Scans; ihr Hilfsmittel: Deep Learning.
Mit der Malware ist es möglich, die Aufnahmen so frühzeitig zu verändern, dass Radiologen und Ärzte diese noch nicht begutachtet haben. Die Folgen einer solchen Malware in der Praxis wären falsche Diagnosen, die falsche Behandlungen nach sich ziehen. Wahlweise würde kranken Patienten nicht geholfen oder eigentlich gesunde Patienten würden überflüssigen, womöglich riskanten Therapien ausgesetzt, auch wenn in diesem Fall eigentlich weitere Schutzmaßnahmen vor einer tatsächlichen Therapie greifen sollten.
Politiker an Kandidatur hindern
Nach Angaben der Wissenschaftler wäre es Angreifern problemlos möglich, gezielt einzelne Patienten herauszugreifen, da auf die Namen und Patienten-IDs zugegriffen werden kann. Als Beispiel nennen sie Politiker, die an einer Kandidatur gehindert werden sollen, indem ihnen eine schwere Krankheit vorgegaukelt wird.
Radiologen in einer Studie fast immer erfolgreich getäuscht
Doch die Wissenschaftler haben es nicht nur bei der theoretischen Entwicklung der Malware belassen, sondern 70 echte CT-Lungenscans manipuliert und diese von erfahrenen Radiologen begutachten lassen. In Fällen, in denen die Malware Krebsgeschwüre hinzugefügt hat, haben die Radiologen in 99 Prozent der Fälle eine Krebserkrankung diagnostiziert. In den Fällen, in denen die Malware hingegen echte Krebsgeschwüre entfernt hat, haben die Radiologen auch in 94 Prozent aller Fälle keinen Krebs diagnostiziert und die Patienten für gesund erklärt.
Den Radiologen wurde daraufhin mitgeteilt, dass die Scans bearbeitet wurden, woraufhin sie einen zweiten Versuch erhielten, die manipulierten Scans zu erkennen. Aus den nunmehr 20 vorgelegten Scans waren 10 manipuliert. Die Forscher lagen bei künstlich hinzugefügtem Krebs dennoch in 60 Prozent der Fälle falsch. Die eigentlich kranken Patienten erklärten sie trotz des Wissens um eine Manipulation weiterhin in 87 Prozent aller Fälle für gesund und konnten die Manipulation nicht erkennen.
Erkennungssoftware lag immer falsch
Darüber hinaus ließen die Wissenschaftler auch eine Software gegen die manipulierten Aufnahmen antreten, die von Radiologen häufig genutzt wird und automatisch Krebserkrankungen der Lunge erkennen soll. Sie konnte ohne Ausnahme überlistet werden und lag bei allen manipulierten Aufnahmen falsch.
Anwendung auf viele Bereiche denkbar
Auch wenn sich die Studie auf Lungenkrebs fokussierte, sei die Manipulation grundsätzlich bei jeder Krebsart und vielen weiteren Erkrankungen denkbar, bei denen bildgebende Verfahren eingesetzt werden, etwa auch bei Knochenbrüchen.
Keine Signaturen und keine Verschlüsselung
Das als „picture archiving and communication system“ (PACS) bezeichnete System, mit dem die Scans zwischen den Geräten und Servern ausgetauscht werden, setzt keinerlei digitale Signaturen ein, weshalb eine Veränderung der Aufnahmen nicht erkannt wird. Auch eine Verschlüsselung komme in den PACS-Netzwerken nicht zum Einsatz, so dass Angreifer mit Zugriff auf das Netzwerk diese problemlos manipulieren könnten. Beides sei notwendig, scheitere jedoch an 20 Jahre alten Systemen und den horrenden Kosten für Neuanschaffungen in allen betroffenen Bereichen.
Während Krankenhäuser sehr bedacht darauf seien, keine Informationen über ihre Patienten nach außen zu geben, sei ihnen das Risiko eines Angriffs auf ihr internes Netzwerk meistens nicht bewusst, so die Forscher. Und auch wenn Verschlüsselungstechnologien für einige PACS inzwischen verfügbar seien, kämen diese aus Kompatibilitätsgründen zu alten Geräten nirgends zum Einsatz.
Forscher verschafften sich Zugang in israelischem Krankenhaus
Um die Malware in einem Krankenhaus einzusetzen, benötigen Angreifer lediglich einmalig Zugang zum internen Netzwerk, was angesichts unbeaufsichtigter Computersysteme und der Anbindung vieler Systeme an das Internet vergleichsweise einfach sei. Die Wissenschaftler haben auch dies in einem Krankenhaus in Israel getestet und konnten sich nach kurzer Zeit erfolgreich Zugang zum Netzwerk der Radiologie verschaffen und die Malware platzieren.