¿Quién está detrás del ataque a Garmin?

El fabricante de dispositivos portátiles y rastreadores GPS  Garmin sufrió un ataque de ransomware la  semana pasada después de que una pandilla de hackers se introdujera en su red interna y encriptara los servidores de la compañía.

El ataque causó una interrupción de cinco días, durante el cual los usuarios temieron hubieran haber robado datos personales junto con el historial de geolocalización de los servidores de Garmin.

Una práctica habitual

La práctica de robar datos antes de encriptar la red de la víctima se ha generalizado hoy entre las grupos de ransomware, que a menudo usan los datos robados para obligar a las víctimas a pagar la demanda de rescate.

Sin embargo, tres empresas de ciberseguridad que hablaron con ZDNet  esta semana han dicho que el grupo de piratas informáticos sospechoso de estar detrás del ataque de Garmin es uno de los pocos grupos que no participan en esta práctica en particular y no tienen antecedentes de robo de datos de clientes antes cifrar archivos

EVILCORP, el grupo que causó la caída.

Conocido como EvilCorp, este grupo de hackers opera fuera de Rusia, y dos de los miembros de la pandilla han sido  acusados ​​por funcionarios estadounidenses en diciembre pasado  por operar la botnet de malware Dridex.

Sin embargo, si bien la pieza central de malware del grupo es la gran red de bots Dridex, el grupo también ha estado vinculado a las operaciones de ransomware.

Las primeras incursiones de EvilCorp en la escena del ransomware ocurrieron en 2016 cuando el grupo comenzó a distribuir las cepas Locky y Bart, que enviaron en masa a través de Internet, dirigidas a consumidores domésticos.

En 2018 EvilCorp cambió su forma con el tiempo y lanzó BitPaymer, una nueva cepa de ransomware que usaron exclusivamente en ataques contra objetivos de alto perfil, como empresas, gobierno redes u organizaciones de atención médica.

A principios de 2020 EvilCorp evolucionó nuevamente  reemplazando   BitPaymer con una cepa de ransomware más nueva y mejor llamada WastedLocker.

Esta nueva versión de WastedLocker ha sido identificada como el ransomware que encripta la red de Garmin, según los empleados de Garmin que hablaron con  ZDNet y con muchos otros medios de comunicación.

Sin robo de datos en ataques anteriores de Bitpaymer y Wastedlocker

Ayer, Garmin admitió formalmente haber sufrido un ataque de ransomware en los documentos presentados ante la SEC 8-K y en un comunicado de prensa público. Una frase particular del  comunicado de prensa llamó la atención.

“No tenemos indicios de que se haya accedido, perdido o robado ningún dato del cliente, incluida la información de pago de Garmin Pay ™“.

Desde el anuncio formal de Garmin de ayer, ZDNet  ha contactado a empresas de seguridad cibernética que se sabe que brindan servicios de respuesta a incidentes para ataques de ransomware.

En entrevistas esta semana, los investigadores de seguridad de Coveware, Emsisoft y Fox-IT le dijeron a  ZDNet que, históricamente, no han visto evidencia de robo de datos de usuarios durante los últimos ataques de BitPaymer y WastedLocker.

“Bitpaymer no tenía un historial de exfiltración de datos“, dijo a ZDNet  Bill Siegel, CEO de Coveware, una compañía que responde a incidentes e incluso maneja negociaciones de pagos de ransomware .

“En los casos de WastedLocker en los que estuvimos involucrados, no vimos ninguna indicación de datos robados“, nos dijo Fabian Wosar, director técnico de Emsisoft.

“No los hemos visto a ellos [EvilCorp] robando datos de clientes para usarlos específicamente para obligar a las víctimas a pagar”, dijo Frank Groenewegen, jefe de expertos de seguridad de Fox-IT, también a ZDNet en una llamada telefónica.

Sin embargo, Groenewegen no descarta el hecho de que se haya producido alguna filtración de datos, de una forma u otra.

Evilcorp robó algunos datos de usuarios en el pasado, hace mucho tiempo

Pero Groenewegen advierte que si EvilCorp no ha robado visiblemente datos para usar en extorsiones en ataques anteriores de BitPaymer y WastedLocker, esto no significa que no lo estén haciendo en este momento, o que no lo harán en el futuro.

El ejecutivo de Fox-IT dice que EvilCorp es más que capaz de extraer datos, refiriéndose a ataques más antiguos.

“Antes de que comenzaran a enfocarse en implementar ransomware, solían apuntar a los procesadores de pagos para robar datos de tarjetas de débito / crédito“, dijo Groenewegen. La pandilla EvilCorp luego se dio la vuelta y vendió estos datos en foros de carding para obtener ganancias.

Sin embargo, según lo que las tres empresas de seguridad le han dicho a  ZDNet , actualmente, los datos de los usuarios de Garmin parecen estar seguros, según el modus operandi pasado del grupo.

Por supuesto, este artículo no es definitivo en su evaluación, y solo es un análisis especulativo del incidente de Garmin basado en los ataques anteriores de EvilCorp y la experiencia de aquellos involucrados en las respuestas a los incidentes respectivos.

Fuente: zdnet