{"id":24829,"date":"2020-08-03T15:05:24","date_gmt":"2020-08-03T13:05:24","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=24829"},"modified":"2022-05-05T14:21:03","modified_gmt":"2022-05-05T12:21:03","slug":"wastedlocker-garmin-incident","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/wastedlocker-garmin-incident\/24829\/","title":{"rendered":"Eine Analyse der gezielten Ransomware WastedLocker"},"content":{"rendered":"

Ende Juli 2020 wimmelte es auf den IT-Nachrichtenwebsites von Berichten \u00fcber Garmin. Verschiedene Dienste von Garmin, darunter auch die Synchronisierung von Ger\u00e4ten mit der Cloud und Tools f\u00fcr Piloten, wurden deaktiviert. Der Mangel an genauen Informationen seitens Garmin f\u00fchrte zu wilden Theorien. Wir unsererseits beschlossen, vor der Beurteilung der Situation auf einige konkrete Daten zu warten.<\/p>\n

In einer offiziellen Stellungnahme<\/a> best\u00e4tigte Garmin, dass das Unternehmen von einem Cyberangriff getroffen wurde, bei dem Online-Dienste unterbrochen und einige interne Systeme verschl\u00fcsselt wurden. Die zum Zeitpunkt verf\u00fcgbaren Informationen deuten darauf hin, dass die Angreifer die WastedLocker-Ransomware verwendet haben. Unsere Experten f\u00fchrten daraufhin eine detaillierte technische Analyse der Malware durch. In diesem Beitrag erl\u00e4utern wir die wichtigsten Ergebnisse.<\/p>\n

WastedLocker Ransomware<\/h2>\n

Die WastedLocker-Ransomware ist ein Beispiel f\u00fcr gezielte<\/em> Ransomware, d.h., es handelt sich hierbei um Malware, die so optimiert wurde, dass sie ein bestimmtes Unternehmen angreift. Die Nachricht der Ransomware bezog sich namentlich auf das Opfer, und alle verschl\u00fcsselten Dateien erhielten die zus\u00e4tzliche Erweiterung. garminwasted.<\/p>\n

Das kryptographische Schema der Cyberkriminellen weist auf die gleiche Schlussfolgerung hin. Die Dateien wurden mit den AES- und RSA-Algorithmen verschl\u00fcsselt, die Ransomware-Entwickler oft kombinieren. Zur Verschl\u00fcsselung der Dateien wird jedoch ein \u00f6ffentlicher RSA-Schl\u00fcssel verwendet und nicht ein f\u00fcr jede Infektion eindeutig generierter Schl\u00fcssel. Mit anderen Worten, wenn diese Ransomware-Modifikation gegen mehrere Ziele verwendet w\u00fcrde, w\u00e4re das Datenentschl\u00fcsselungsprogramm universell einsetzbar, da es auch einen privaten Schl\u00fcssel geben m\u00fcsste.<\/p>\n

Dar\u00fcber hinaus weist die Ransomware folgende kuriose Merkmale auf:<\/p>\n