{"id":15400,"date":"2020-08-03T09:57:03","date_gmt":"2020-08-03T09:57:03","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=15400"},"modified":"2022-05-05T13:40:05","modified_gmt":"2022-05-05T11:40:05","slug":"wastedlocker-garmin-incident","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/wastedlocker-garmin-incident\/15400\/","title":{"rendered":"Analyse du ransomware WastedLocker"},"content":{"rendered":"<p>Fin juillet 2020, les sites d\u2019actualit\u00e9s technologiques d\u00e9bordaient d\u2019articles sur Garmin. Plusieurs services de Garmin, dont la synchronisation des dispositifs avec le Cloud et les outils destin\u00e9s aux pilotes, \u00e9taient inutilisables. Le manque d\u2019informations officielles a donn\u00e9 lieu \u00e0 de nombreuses th\u00e9ories. Quant \u00e0 nous, nous avons d\u00e9cid\u00e9 d\u2019attendre d\u2019avoir certaines donn\u00e9es concr\u00e8tes pour \u00e9valuer la situation.<\/p>\n<p>Dans son <a href=\"https:\/\/www.garmin.com\/fr-FR\/outage\/\" target=\"_blank\" rel=\"nofollow noopener noreferrer\">communiqu\u00e9 officiel<\/a>, Garmin a confirm\u00e9 avoir \u00e9t\u00e9 victime d\u2019une cyberattaque qui a interrompu ses services en ligne et chiffr\u00e9 certains syst\u00e8mes internes. Les informations disponibles au moment o\u00f9 nous r\u00e9digeons cet article indiquent que les pirates informatiques ont utilis\u00e9 la ransomware WastedLocker. Nos experts ont r\u00e9alis\u00e9 une analyse technique et d\u00e9taill\u00e9e du malware. Voici leurs principales d\u00e9couvertes.<\/p>\n<h2>Ransomware WastedLocker<\/h2>\n<p>WastedLocker est l\u2019exemple d\u2019un ransomware qui r\u00e9alise des attaques cibl\u00e9es, c\u2019est-\u00e0-dire un malware param\u00e9tr\u00e9 pour s\u2019en prendre \u00e0 une entreprise en particulier. La demande de ran\u00e7on se dirige \u00e0 la victime par son nom et l\u2019extension .garminwasted est ajout\u00e9e \u00e0 tous les fichiers chiffr\u00e9s.<br>\nLe sch\u00e9ma de chiffrement utilis\u00e9 par les cybercriminels nous permet de tirer la m\u00eame conclusion. Ils ont utilis\u00e9 les algorithmes AES et RSA pour chiffrer les fichiers. Les cr\u00e9ateurs de ransomware les utilisent souvent ensemble. Pourtant, pour chiffrer les fichiers, ils se sont servis d\u2019une cl\u00e9 publique RSA plut\u00f4t que d\u2019une cl\u00e9 g\u00e9n\u00e9r\u00e9e uniquement pour chaque infection. En d\u2019autres termes, si cette modification de ransomware \u00e9tait utilis\u00e9e contre plusieurs cibles, le programme de chiffrement des donn\u00e9es serait d\u2019usage g\u00e9n\u00e9ral puisqu\u2019il devrait aussi y avoir une cl\u00e9 priv\u00e9e.<\/p>\n<ul>\n<li>De plus, le ransomware dispose de fonctions plut\u00f4t \u00e9tranges :<br>\nLa priorit\u00e9 est donn\u00e9e au chiffrement des donn\u00e9es, ce qui signifie que les cybercriminels peuvent indiquer quel r\u00e9pertoire de fichiers doit \u00eatre chiffr\u00e9 en premier. Cela maximise les d\u00e9g\u00e2ts au cas o\u00f9 les m\u00e9canismes de s\u00e9curit\u00e9 arr\u00eateraient le chiffrement des donn\u00e9es avant qu\u2019il ne soit termin\u00e9.<\/li>\n<li>Soutien du chiffrement du fichier des ressources du r\u00e9seau \u00e0 distance.<\/li>\n<li>Privil\u00e8ge de contr\u00f4le et utilisation du <a href=\"https:\/\/encyclopedia.kaspersky.com\/glossary\/dll-hijacking\/\" target=\"_blank\" rel=\"noopener noreferrer\">contournement de la DLL<\/a> pour escalader les privil\u00e8ges.<br>\nVous trouverez une analyse d\u00e9taill\u00e9e du ransomware dans l\u2019article en anglais publi\u00e9 sur Securelist et intitul\u00e9 <a href=\"https:\/\/securelist.com\/wastedlocker-technical-analysis\/97944\/\" target=\"_blank\" rel=\"nofollow noopener noreferrer\">WastedLockwer: technical analysis<\/a>.<\/li>\n<\/ul>\n<h2>O\u00f9 en est Garmin ?<\/h2>\n<p>Selon les derni\u00e8res d\u00e9clarations faites par Garmin, les services sont \u00e0 nouveau op\u00e9rationnels m\u00eame si la synchronisation des donn\u00e9es peut \u00eatre lente et encore limit\u00e9e dans certains cas. C\u2019est compr\u00e9hensible : les dispositifs qui n\u2019ont pas pu se synchroniser avec le Cloud pendant plusieurs jours contactent tous en m\u00eame temps les serveurs de l\u2019entreprise, ce qui augmente la charge.<br>\nGarmin indique qu\u2019il n\u2019existe aucune preuve laissant croire qu\u2019une personne ait pu acc\u00e9der de fa\u00e7on ill\u00e9gale aux donn\u00e9es client pendant l\u2019incident.<\/p>\n<h2>Comment se prot\u00e9ger de ces attaques<\/h2>\n<p>Les attaques cibl\u00e9es de ransomware qui s\u2019en prennent aux entreprises ne vont pas dispara\u00eetre de sit\u00f4t. Cela \u00e9tant dit, les conseils \u00e0 suivre pour vous en prot\u00e9ger sont assez simples :<\/p>\n<ul>\n<li>Ayez toujours vos programmes \u00e0 jour, surtout votre syst\u00e8me d\u2019exploitation. La plupart des chevaux de Troie exploitent des vuln\u00e9rabilit\u00e9s connues.<\/li>\n<li>Utilisez le RDP pour refuser l\u2019acc\u00e8s public aux syst\u00e8mes de l\u2019entreprise (ou, si besoin, un VPN).<\/li>\n<li>Formez vos employ\u00e9s pour qu\u2019ils aient des connaissances de base en cybers\u00e9curit\u00e9. Dans la plupart des cas, c\u2019est \u00e0 cause de l\u2019<a href=\"https:\/\/encyclopedia.kaspersky.com\/glossary\/social-engineering\/\" target=\"_blank\" rel=\"noopener noreferrer\">ing\u00e9nierie sociale<\/a> que les employ\u00e9s laissent passer un ransomware de type cheval de Troie et que ce dernier infecte le r\u00e9seau de l\u2019entreprise.<\/li>\n<li>Utilisez des solutions de s\u00e9curit\u00e9 de pointe \u00e9quip\u00e9es de technologies anti-ransomware avanc\u00e9es. <a href=\"https:\/\/www.kaspersky.fr\/small-to-medium-business-security?icid=fr_kdailyplacehold_acq_ona_smm__onl_b2b_kasperskydaily_wpplaceholder_______\" target=\"_blank\" rel=\"noopener\">Nos produits<\/a> d\u00e9tectent WastedLocker et emp\u00eachent l\u2019infection.<\/li>\n<\/ul>\n<input type=\"hidden\" class=\"category_for_banner\" value=\"kesb\">\n","protected":false},"excerpt":{"rendered":"<p>Nos experts font une analyse technique et d\u00e9taill\u00e9e du principal suspect de l\u2019attaque de ransomware dont Garmin a \u00e9t\u00e9 victime.<\/p>\n","protected":false},"author":2706,"featured_media":15404,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2112,3150,3151],"tags":[204,353],"class_list":{"0":"post-15400","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"category-smb","10":"tag-menaces","11":"tag-ransomware"},"hreflang":[{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/wastedlocker-garmin-incident\/15400\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/wastedlocker-garmin-incident\/21644\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/wastedlocker-garmin-incident\/17107\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/wastedlocker-garmin-incident\/8467\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/wastedlocker-garmin-incident\/22971\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/wastedlocker-garmin-incident\/21158\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/wastedlocker-garmin-incident\/19791\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/wastedlocker-garmin-incident\/23590\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/wastedlocker-garmin-incident\/22464\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/wastedlocker-garmin-incident\/28840\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/wastedlocker-garmin-incident\/8649\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/wastedlocker-garmin-incident\/36626\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/wastedlocker-garmin-incident\/15808\/"},{"hreflang":"pl","url":"https:\/\/plblog.kaspersky.com\/wastedlocker-garmin-incident\/13743\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/wastedlocker-garmin-incident\/24829\/"},{"hreflang":"zh","url":"https:\/\/www.kaspersky.com.cn\/blog\/wastedlocker-garmin-incident\/11780\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/wastedlocker-garmin-incident\/28927\/"},{"hreflang":"nl","url":"https:\/\/www.kaspersky.nl\/blog\/wastedlocker-garmin-incident\/25760\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/wastedlocker-garmin-incident\/22688\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/wastedlocker-garmin-incident\/27934\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/wastedlocker-garmin-incident\/27764\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.fr\/blog\/tag\/ransomware\/","name":"ransomware"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/15400","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/users\/2706"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/comments?post=15400"}],"version-history":[{"count":5,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/15400\/revisions"}],"predecessor-version":[{"id":15402,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/15400\/revisions\/15402"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media\/15404"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media?parent=15400"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/categories?post=15400"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/tags?post=15400"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}