Der Wearable- und Fitness-Tracker-Hersteller Garmin wurde am 23. Juli Opfer einer Ransomware-Attacke, die seine IT-Systeme und Cloud-Services lahm legte. Erst einige Tage später konnte das schweizerisch-amerikanische Unternehmen damit beginnen, seine Systeme nach und nach wieder in Betrieb zu nehmen.

Kurz darauf berichtete 'Sky News' aufgrund von Informationen von Insiderquellen, dass sich Garmin für die Recovery den Schlüssel zur Entschlüsselung seiner Files verschafft habe.  Darüber, wie Garmin an diesen Schlüssel gelangte, konnte Sky News' aber nur Mutmassungen anstellen.

Nun berichtet der gleiche News-Service, wieder aufgrund der Aussagen von anonymen Insiderquellen, dass Garmin seinen Erpressern via ein Drittunternehmen mehrere Millionen Dollar bezahlt habe, um den Schlüssel zu erhalten. Die Zahlung sei über das Security-Unternehmen Arete Incident Response erfolgt.

Gemäss Security-Experten wurden die Systeme von Garmin mit der Ransomware "WastedLocker" infiziert. Diese wiederum werde von der russischen Ransomware-Bande EvilCorp verwendet.

Eine Zahlung an diese Ransomware-Gruppe wäre für Garmin besonders heikel. Das US-Finanzministerium hat im letzten Dezember ein Embargo gegenüber EvilCorp verhängt. Dies bedeutet, das es verboten ist, finanzielle Transaktionen mit Unternehmen oder Einzelpersonen zu tätigen, die mit EvilCorp in Verbindung stehen.

Garmin wollte die Berichte von 'Sky News' nicht kommentieren. Man werde sich nicht zu Gerüchten und Spekulationen äussern, so das Unternehmen.

Die auf Dienstleistungen für Ransomware-Opfer spezialisierte US-Firma Arete erklärte, man gebe keine Auskunft zu Kundenbeziehungen. Man befolge bei Transaktionen aber immer die US-Gesetze und -Verordnungen. Laut 'Sky News' veröffentlichte Arete am 24. Juli, also einen Tag nach dem Angriff auf Garmin, eine Analyse zum Thema WastedLocker. Gemäss dieser Analyse (PDF) gibt es keine schlüssigen Beweise, dass diese Ransomware tatsächlich von EvilCorp verwendet wird, sondern eher Indizien, die dagegen sprechen.