WastedLocker ist eine Ransomware-Familie, die nachweislich ab Mai 2020 im Rahmen sogenannter Big-Game-Hunting-Kampagnen gezielt gegen gro\u00dfe Unternehmen eingesetzt wurde. Angreifer verschl\u00fcsseln nach dem Eindringen in ein Netzwerk Dateien auf den betroffenen Systemen und fordern anschlie\u00dfend L\u00f6segeld f\u00fcr deren Freigabe. Sicherheitsforscher bringen die Schadsoftware mit der Cybercrime-Gruppe Evil Corp<\/strong> in Verbindung, die sich auf finanziell motivierte Angriffe gegen zahlungskr\u00e4ftige Opfer spezialisiert hat. Eine gezielte Zielauswahl unterscheidet diese Kampagnen von breit gestreuten Ransomware-Wellen ohne vorherige Auswahl einzelner Opfer. Diese Vorgehensweise verschafft den Angreifern in Einzelf\u00e4llen deutlich h\u00f6here L\u00f6segeldsummen als bei ungezielten Massenangriffen<\/strong>. Evil Corp werden laut MITRE ATT&CK auch die Ransomware-Familien BitPaymer und Hades zugeschrieben.<\/p>\n Der CryptOne-Crypter erschwert durch eingef\u00fcgten Junk-Code die Analyse der Schadsoftware, bevor WastedLocker die eigentliche Verschl\u00fcsselung ausf\u00fchrt. Trifft der Angriff auf die Systeme eines Versicherers, verschl\u00fcsselt WastedLocker dort erreichbare Dateien und blockiert damit den Zugriff auf Kunden- und Vertragsdaten<\/strong>. Je nachdem, wie weit sich der kompromittierte Zugang im Netzwerk ausbreiten konnte, bleibt die Verschl\u00fcsselung auf einzelne Systeme begrenzt oder erfasst zentrale Serverstrukturen.<\/p>\n Bei WastedLocker-Kampagnen, die Evil Corp zugeschrieben werden, dienten gef\u00e4lschte Software-Updates auf kompromittierten Webseiten typischerweise als erster Zugang ins Netzwerk; die Ransomware selbst brachten die Angreifer erst sp\u00e4ter zur Ausf\u00fchrung. Laut MITRE ATT&CK handelte es sich dabei um legitime, zuvor kompromittierte Websites<\/strong>. Im Netzwerk setzte die Gruppe zudem Werkzeuge wie Cobalt Strike ein und f\u00fchrte ein Ransomware-Skript per PsExec aus. Der eigens entwickelte Crypter CryptOne verschleiert den Schadcode dabei durch eingef\u00fcgten Junk-Code und erschwert so die automatisierte Analyse durch Sicherheitsprodukte. Nach der Ausf\u00fchrung verschl\u00fcsselt WastedLocker Dateien auf dem System und benennt sie nach einem festen Schema um, das eine Abk\u00fcrzung des Opfernamens sowie die Zeichenkette wasted enth\u00e4lt. Diese Umbenennung liefert Sicherheitsteams auch ohne vollst\u00e4ndige forensische Analyse einen ersten Hinweis auf einen WastedLocker-Vorfall. Zudem kann WastedLocker erreichbare Netzlaufwerke und Wechseldatentr\u00e4ger erkennen sowie Volumenschattenkopien l\u00f6schen, was eine Wiederherstellung \u00fcber Windows-Bordmittel erschwert. Eine vollst\u00e4ndige Entschl\u00fcsselung ohne den beim Angreifer verbliebenen Schl\u00fcssel ist nach bisherigen Erkenntnissen von Sicherheitsforschern nicht dokumentiert<\/strong>.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,399],"class_list":["post-33684","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-ransomware"],"acf":{"card_description":"WastedLocker: Ransomware-Familie, die Evil Corp zugeschrieben wird und \u00fcberwiegend gegen gro\u00dfe Unternehmen eingesetzt wurde.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Ransomware","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"WastedLocker ist eine Ransomware-Familie, die Dateien verschl\u00fcsselt, nachweislich ab Mai 2020 in sogenannten Big-Game-Hunting-Kampagnen gezielt gegen gro\u00dfe Unternehmen eingesetzt wurde und mit der Cybercrime-Gruppe Evil Corp in Verbindung gebracht wird.","at_a_glance":[{"bullet":"Verschl\u00fcsselte Dateien tragen ein Namensschema mit einer Abk\u00fcrzung des Opfernamens und der Zeichenkette wasted."},{"bullet":"Ein eigener Crypter namens CryptOne f\u00fcgt Junk-Code ein, um Sicherheitsanalysen zu erschweren."},{"bullet":"Weitere Ransomware-Familien aus dem Evil-Corp-Umfeld sind laut MITRE ATT&CK BitPaymer und Hades."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Im Jahr 2020 wurde ein gro\u00dfes US-amerikanisches GPS- und Navigationsunternehmen laut Medienberichten Opfer eines WastedLocker-Angriffs."},{"example":"Als ersten Zugang nutzten die Evil Corp zugeschriebenen WastedLocker-Kampagnen kompromittierte legitime Websites, die Besuchern gef\u00e4lschte Browser-Updates unterjubelten."},{"example":"Laut MITRE ATT&CK entschl\u00fcsselt der eigene Crypter CryptOne die eigentliche WastedLocker-Schadsoftware mit einem XOR-basierten Algorithmus."},{"example":"Erschwert der CryptOne-Crypter die Analyse der Schadsoftware und verschl\u00fcsselt WastedLocker anschlie\u00dfend Systeme eines Versicherers, bleibt der Zugriff auf Kunden- und Vertragsdaten blockiert, bis eine Wiederherstellung aus Backups gelingt."}],"misconception":[{"myth":"WastedLocker richtet sich nur gegen kleine, schlecht gesch\u00fctzte Unternehmen.","reality":"Die dokumentierten Kampagnen richteten sich im Gegenteil \u00fcberwiegend gegen gro\u00dfe, zahlungskr\u00e4ftige Unternehmen im Rahmen von Big-Game-Hunting \u2013 ein Vorgehen, das auf hohe L\u00f6segeldsummen statt auf eine gro\u00dfe Opferzahl abzielt."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33690,33703,33689],"pillar_link":null,"sources":[{"publisher":"","name":"WastedLocker, Software S0612","url":"https:\/\/attack.mitre.org\/software\/S0612\/","doc_type":"","group":"used"},{"publisher":"","name":"Indrik Spider, Evil Corp, Manatee Tempest, DEV-0243, UNC2165, Group G0119","url":"https:\/\/attack.mitre.org\/groups\/G0119\/","doc_type":"","group":"used"},{"publisher":"","name":"Garmin Outage Raises Fear of Ransomware Attack","url":"https:\/\/www.securityweek.com\/garmin-outage-raises-fear-ransomware-attack\/","doc_type":"2020","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert WastedLocker?<\/h2>\n
Woran erkenne ich WastedLocker?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Umbenannte, verschl\u00fcsselte Dateien<\/td>\n Dateinamen enthalten eine Abk\u00fcrzung des Unternehmensnamens sowie die Zeichenkette wasted.<\/td>\n<\/tr>\n \n Verschleierter Schadcode durch CryptOne<\/td>\n Sicherheitsanalysen sto\u00dfen auf umfangreichen Junk-Code, der die automatisierte Erkennung erschwert.<\/td>\n<\/tr>\n \n Zugriff \u00fcber gef\u00e4lschte Software-Updates<\/td>\n Nutzer haben im Vorfeld ein vermeintliches Browser- oder Software-Update von einer kompromittierten Webseite ausgef\u00fchrt.<\/td>\n<\/tr>\n \n Gel\u00f6schte Schattenkopien<\/td>\n Die Volumenschattenkopien des Systems wurden gel\u00f6scht, was eine Wiederherstellung \u00fcber Windows-Bordmittel erschwert.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n