Garmin herstelt langzaam van een grote ransomwareaanval

Gisteren kondigde Garmin, een van 's werelds grootste fabrikanten van apparaten met GPS-ondersteuning, aan dat het een ongekende ransomware-aanval moet hebben meegemaakt. De infectie heeft veel van de cloudgebaseerde services van het bedrijf getroffen en de storing duurde dagen. Maar nu komen ze allemaal weer online.

Vreemd genoeg ontbreekt de verplichte "verontschuldiging voor het ongemak" in het persbericht, maar Garmin bedankte zijn klanten voor het begrip en kondigde aan dat sommigen van hen mogelijk nog steeds problemen ondervinden vanwege de enorme achterstand aan gegevens die moeten worden verwerkt. Het bedrijf is er vrij zeker van dat er geen klantgegevens zijn gestolen, maar desalniettemin kan dit incident herinneren aan hoe verwoestende cyberaanvallen zouden kunnen zijn.

Hoe erg was het?

Het werd duidelijk dat er woensdag iets mis was toen veel Garmin-gebruikers naar sociale media gingen om te klagen dat ze hun gegevens niet konden zien via het portfolio van mobiele apps van het bedrijf. De e-mailservers en ondersteuningskanalen van Garmin werden ook beïnvloed en op een gegeven moment ging zelfs de hoofdwebsite van de fabrikant naar beneden. Op 23 juli gebruikte Garmin zijn sociale-mediaprofielen om zijn gebruikers te informeren dat een storing een breed scala van zijn diensten had getroffen. De reden voor de onderbreking werd niet genoemd, maar mensen waren er zeker van dat Garmin er alles aan deed om het probleem op te lossen.

Een paar dagen later publiceerde het bedrijf, nadat het een aantal diensten had hersteld, een pagina met veelgestelde vragen, waarin stond dat cybercriminelen de fabrikant van GPS-apparaten hadden aangevallen. Er werd niet veel onthuld op het gebied van technische details, maar tegen die tijd wisten veel mensen al wat er was gebeurd.

Volgens bronnen was Garmin het doelwit van de WastedLocker-ransomware

Garmin heeft de naam van de malware-familie die zoveel van zijn cloudinfrastructuur offline heeft gehaald nog niet bekendgemaakt, maar het lijkt erop dat sommige mensen wisten wat het was enkele uren nadat de aanval was begonnen. Die mensen kwamen in contact met verschillende nieuwswebsites en onthulden dat Garmin kennelijk werd geraakt door de WastedLocker-ransomware. Ineens lijkt de hoeveelheid schade die de aanval heeft veroorzaakt niet zo verrassend.

WastedLocker is een relatief nieuwe ransomwarefamilie die in juni nauwkeurig werd onderzocht door onderzoekers van de NCC Group. Volgens de experts is het ontwikkeld door een groep hackers die bekend staat als Evil Corp.

Evil Corp mag geen nieuwe naam zijn voor degenen onder u met een actieve interesse in cybersecurity. De hackploeg werd in 2007 opgericht nadat leden van het team dat verantwoordelijk was voor de ZeuS-banktrojan vertrokken en probeerden het alleen te doen. Ze creëerden Dridex, een nu beruchte banktrojan die uitgroeide tot een enorme bedreiging die andere malwarefamilies kon laten vallen en computers kon rekruteren in een enorm botnet-netwerk. Dezelfde cybercriminelen waren ook verantwoordelijk voor de distributie van Locky - de onbetwiste leider op de ransomwaremarkt van een paar jaar geleden.

De ontwrichtende aanvallen van Evil Corp hebben de aandacht getrokken van de hoogst mogelijke plaatsen, en in december 2019 werd onthuld dat twee personen waarvan werd aangenomen dat ze deel uitmaakten van de hackploeg, waren aangeklaagd door het Amerikaanse ministerie van Justitie. De vermeende cybercriminelen zijn nog steeds op vrije voeten.

Garmin heeft geluk gehad

Het is waarschijnlijk moeilijk te geloven dat Garmin erger had kunnen zijn, maar er zijn aanwijzingen dat dit het geval is. Ransomware-operators die zich richten op bedrijven in plaats van thuisgebruikers, hebben toegang tot het netwerk van het slachtoffer nodig om hun aanval te laten werken, en eind 2019 realiseerden sommigen zich dat ze gevoelige gegevens konden stelen terwijl ze binnen waren. Op die manier kunnen ze later dreigen het te lekken als het doelwit niet meewerkt. Recente aanvallen suggereren dat de strategie werkt.

Met WastedLocker ging Evil Corp met een meer traditionele ransomware-operatie. Volgens Garmin hebben de hackers geen informatie gestolen en hebben ze zelfs geen cent ontvangen omdat het bedrijf werkende back-ups heeft. De eisen van de criminelen werden niet officieel onthuld, maar het is redelijk om te zeggen dat het niet betalen van het losgeld Garmin waarschijnlijk een fortuin heeft bespaard. Bovendien zou het sturen van geld naar personen die in de VS zijn aangeklaagd, een hoop juridische problemen hebben opgeleverd.