Chi c'è dietro l'attacco a Garmin?

Il produttore di dispositivi indossabili e localizzatori GPS Garmin ha subito un attacco ransomware la scorsa settimana, dopo che una banda di hacker ha fatto irruzione nella sua rete interna e ha crittografato i server dell'azienda.

L'attacco ha causato a interruzione di cinque giorni, durante il quale gli utenti temevano che i dati fossero stati rubati personale insieme al cronologia della geolocalizzazione dai server Garmin.

Una pratica comune

La pratica di rubare i dati prima di crittografare la rete della vittima è oggi diffusa tra i gruppi di ransomware, che spesso utilizzano i dati rubati per costringere le vittime a pagare la richiesta di riscatto.

Tuttavia, tre società di sicurezza informatica che hanno parlato con ZDNet questa settimana hanno affermato che il gruppo di hacker sospettato di essere dietro l'attacco Garmin è uno dei pochi gruppi che non partecipa a questa particolare pratica e non hanno precedenti di furto di dati dei clienti prima di crittografare i file

EVILCORP, il gruppo che ha causato la caduta.

Conosciuto come EvilCorp, questo gruppo di hacker opera dalla Russia e due membri della banda sono stati accusati da funzionari statunitensi lo scorso dicembre per aver gestito la botnet malware Dridex.

Tuttavia, il fulcro del malware del gruppo è il grande Botnet Dridex, il gruppo è stato collegato anche ad operazioni di ransomware.

Le Le prime incursioni di EvilCorp eLa scena del ransomware è avvenuta nel 2016 quando il gruppo iniziò a distribuire le varietà Locky e Bart, che spedirono in massa su Internet, rivolgendosi ai consumatori domestici.

Nel 2018 EvilCorp ha cambiato forma nel tempo e si è lanciata BitPaymer, One nuovo ceppo di ransomware in cui usavano esclusivamente attacchi contro obiettivi di alto profilo, come aziende, reti governative o organizzazioni sanitarie.

All'inizio del 2020 EvilCorp si è evoluta nuovamente sostituendo BitPaymer con un ceppo di ransomware più nuovo e migliore chiamato Armadietto sprecato.

Questa nuova versione di Armadietto sprecato è stato identificato come ransomware che crittografa la rete Garmin, secondo i dipendenti Garmin che hanno parlato con ZDNet e molti altri media.

Nessun furto di dati nei precedenti attacchi Bitpaymer e Wastedlocker

Ieri, Garmin ha ammesso formalmente di aver subito un attacco ransomware nei documenti depositati alla SEC 8-K e in un comunicato stampa pubblico. Una frase particolare da  comunicato stampa attirato l'attenzione.

"Non abbiamo alcuna indicazione che i dati dei clienti, comprese le informazioni di pagamento Garmin Pay™, siano stati accessibili, persi o rubati.".

Dall'annuncio formale di Garmin ieri, ZDNet ha contattato società di sicurezza informatica note per fornire servizi di risposta agli incidenti per attacchi ransomware.

Nelle interviste di questa settimana, i ricercatori di sicurezza di Coveware, Emsisoft e Fox-IT hanno dichiarato a ZDNet che, storicamente, Non hanno visto prove del furto di dati degli utenti durante gli ultimi attacchi BitPaymer e WastedLocker.

“Bitpaymer non ha precedenti di esfiltrazione di dati“Bill Siegel, CEO di Coveware, una società che risponde agli incidenti e gestisce anche le trattative per il pagamento dei ransomware, ha detto a ZDNet.

"Nei casi WastedLocker in cui siamo stati coinvolti, non abbiamo visto alcuna indicazione di dati rubati“, ci ha detto Fabian Wosar, direttore tecnico di Emsisoft.

“Non li abbiamo visti [EvilCorp] rubare i dati dei clienti usali specificamente per costringere le vittime a pagare”Lo ha detto a ZDNet anche Frank Groenewegen, capo esperto di sicurezza di Fox-IT.

Tuttavia, Groenewegen non esclude che si sia verificata una fuga di dati, in un modo o nell'altro.

Evilcorp ha rubato alcuni dati degli utenti in passato, molto tempo fa

Ma Groenewegen avverte che se EvilCorp non ha visibilmente rubato dati da utilizzare a scopo di estorsione nei precedenti attacchi BitPaymer e WastedLocker, ciò non significa che non lo stiano facendo ora, o che non lo faranno in futuro.

Lo afferma il dirigente di Fox-IT EvilCorp è più che in grado di estrarre dati, riferendosi ad attacchi più vecchi.

"Prima di iniziare a concentrarsi sulla distribuzione del ransomware, In passato prendevano di mira i processori di pagamento per rubare datie carte di debito/credito“Ha detto Grenewegen. La banda EvilCorp si è poi voltata e venduto questi dati sui forum di carte per realizzare profitti.

Tuttavia, secondo quanto riferito dalle tre società di sicurezza a ZDNet, attualmente, I dati utente Garmin sembrano essere sicuri, secondo il modus operandi del passato del gruppo.

Naturalmente, questo articolo non è definitivo nella sua valutazione, ed è solo un'analisi speculativa dell'incidente Garmin basata sui precedenti attacchi EvilCorp e sull'esperienza delle persone coinvolte nelle risposte ai rispettivi incidenti.

fonte: ZDNet