Sobre el ataque de WastedLocker a Garmin

Desde que se hizo público el ataque a Garmin he estado pendiente de cómo reacciona la compañía y la industria de seguridad de la información ante el ataque sufrido por esta compañía que es reconocida por sus aparatos de GPS y relojes para ejercicios. Twitter ha sido mi mayor fuente de información y me he dado cuenta que no soy el único interesado.


No me cabe duda de que los ataques de ransomware teledirigidos se han convertido en una gran amenaza para las compañías y los encargados de proteger los sistemas, el equipo azul.

Estos incidentes de seguridad los analizo con información pùblica buscando identificar:

1. Controles preventivos que tenía la organización afectada
2. Su estrategia de comunicación durante y posterior al evento
3. El manejo que tuvieron con los atacantes incluyendo compañías consultoras contratadas
4. Estrategia de recuperación ante el ataque, ya sea pagando o recuperándose de respaldos
5. Detalle técnico de los TTPs (tactics, techniques and procedures) utilizados por los atacantes para vulnerar a la víctima.
6. Mejoras a los planes de seguridad post recuperación

Abajo encontrarán lo que tengo hasta ahora:

Tema	Info obtenida	Referencias
Controles preventivos que tenía la organización afectada	No he logrado obtener info	No hay
Su estrategia de comunicación durante y posterior  al evento	Realizaron un comunicado el 27-jul-20 haciendo referencia a que el ataque inició 23-jul-20. Es entendible que no presenten más información en vista a que están en el medio de la gestión del ataque	Businesswire
Manejo con atacantes	No se tiene información sobre quiénes manejaron las negociaciones en nombre de Garmin	No hay
Estrategia de recuperación ante ataque	Pagaron (se especula que 10 millones USD), recibieron vacuna del atacante y luego contrataron servicios de  Emsisoft y Coveware para limpieza. El paquete de recuperación distribuido por la compañía según BleepingComputer incluye: Nessus, MalwareBytes y SentinelOne entre otros.	BleepingComputer
TTPs de atacantes	Existen pocos enlaces con una descripción detallada del malware. Pero según los enlaces compartidos se tiene: Requiere permisos administrativos Realiza elevación de privilegios por medio de DLL hijacking Cada archivo es cifrado con una llave diferente Para cada archivo cifrado se creó uno con extensión .garminwasted_info Utiliza correctamente RSA y AES (romper cifrado sin llave de atacante es imposible) Mayor información en enlaces de al lado.	NCCGroup Kaspersky Malpedia
Mejoras a los planes de seguridad post recuperación	No he encontrado información	No se tiene.

No es práctico obtener IOCs para llevarlos a su empresa para protegerse contra este tipo de ataques porque al ser ataques desarrollados de manera específica es muy improbable que contar con IOCs pueda ser de ayuda para prevenir este tipo de ataques.

Lo que nos queda compañeros defensores es tratar de aprender sobre los TTPs usados para luego buscar cómo nuestras herramientas de seguridad en capas nos pueden ayudar a prevenir o reaccionar mejor ante este tipo de ataques.


Saludos,

Sebastián