{"id":25760,"date":"2020-08-03T14:04:03","date_gmt":"2020-08-03T12:04:03","guid":{"rendered":"https:\/\/www.kaspersky.nl\/blog\/?p=25760"},"modified":"2022-05-05T13:57:03","modified_gmt":"2022-05-05T11:57:03","slug":"wastedlocker-garmin-incident","status":"publish","type":"post","link":"https:\/\/www.kaspersky.nl\/blog\/wastedlocker-garmin-incident\/25760\/","title":{"rendered":"Analyse van de gerichte ransomware WastedLocker"},"content":{"rendered":"

Eind juli 2020 stonden tal van technieuwssites vol met artikelen over Garmin. Verschillende Garmin-diensten, waaronder apparaatsynchronisatie met de cloud en tools voor piloten, waren uitgeschakeld. De schaarste aan precieze informatie zorgde ervoor dat de wildste theorie\u00ebn de ronde deden. Wij besloten echter te wachten tot er concrete gegevens waren voordat we de situatie zouden beoordelen.<\/p>\n

In een offici\u00eble verklaring<\/a> bevestigde Garmin dat ze getroffen waren door een cyberaanval die de online diensten had onderbroken en sommige interne systemen had versleuteld. De beschikbare informatie ten tijde van dit schrijven wijst erop dat de aanvallers gebruik maakten van de WastedLocker-ransomware. Onze experts voerden een gedetailleerde technische analyse van de malware uit, en hieronder leest u meer over hun bevindingen.<\/p>\n

WastedLocker-ransomware<\/h2>\n

WastedLocker is een voorbeeld van gerichte<\/em> ransomware \u2014 malware die is aangepast om een specifiek bedrijf aan te vallen. Het bericht om losgeld sprak het slachtoffer bij naam aan, en alle versleutelde bestanden bevatten de aanvullende extensie .garminwasted<\/strong>.<\/p>\n

Het cryptografische plan van de cybercriminelen wijst ook op die conclusie. De bestanden werden versleuteld met gebruik van de AES- en RSA-algoritmes, die makers van ransomware vaak in combinatie gebruiken. Er wordt dan echter \u00e9\u00e9n openbare RSA-sleutel gebruikt om bestanden te versleutelen in plaats van een sleutel die uniek wordt gegenereerd voor elke infectie. In andere woorden, als deze ransomware-modificatie tegen meerdere doelwitten werd gebruikt, zou het dataversleutelingsprogramma voor algemeen gebruik zijn, want er zou dan ook \u00e9\u00e9n priv\u00e9sleutel moeten zijn.<\/p>\n

Bovendien toont de ransomware de volgende opvallende kenmerken:<\/p>\n