Agenția australiană de informații și securitate cibernetică ASD a pătruns în infrastructura unei operațiuni Amadey și a deconectat serverul de comandă de aproximativ 180.000 de computere infectate din întreaga lume, inclusiv unele din Australia. Măsura blochează accesul operatorului la aceste dispozitive, însă nu șterge datele furate înaintea intervenției.
„Următorii pași pe care i-am făcut au fost să deconectăm acel controler Amadey de toate victimele”, a declarat Tauri Gregory, director general adjunct interimar pentru informații al ASD, într-un interviu acordat ABC News și publicat pe 27 octombrie. Operațiunile cibernetice ofensive ale agenției necesită aprobarea explicită a guvernului australian și pot viza infrastructura infractorilor din străinătate.
De la un server de comandă la mii de dispozitive controlate
Amadey este oferit infractorilor ca serviciu din 2018, potrivit analizei ESET. Fiecare cumpărător își administrează propriul panou de control pe servere separate, iar dispozitivele infectate contactează serverul de comandă și control (C2) al operatorului pentru a primi instrucțiuni.
Rolul principal al malware-ului este să instaleze alte amenințări, între care infostealerul StealC. Amadey poate, de asemenea, să fure credențiale și să ofere cumpărătorului acces de la distanță la calculator; distribuirea sa s-a bazat frecvent pe actualizări software false, programe piratate și alte programe de încărcare a malware-ului.
ESET a identificat 53 de botneturi Amadey distincte, fără infrastructură comună. Prin urmare, intervenția ASD a vizat o singură operațiune: întreruperea unui controler nu dezactivează automat celelalte rețele și nu înseamnă că toate dispozitivele infectate cu Amadey au fost curățate.
Deconectarea nu anulează furtul de date
Parolele și alte credențiale furate pot rămâne nefolosite luni întregi înainte ca atacatorii să le exploateze, potrivit unei analize Microsoft citate în materialul sursă. În plus, un cookie de sesiune sustras poate permite ocolirea autentificării multifactor (MFA), chiar dacă parola a fost schimbată ulterior.
Raportul anual al ASD privind amenințările cibernetice, publicat pe 27 octombrie, nu descrie operațiunea Amadey. Separat, infrastructura asociată malware-ului a fost vizată în iunie de Operation Endgame, o acțiune internațională a autorităților de aplicare a legii, desfășurată împreună cu parteneri privați.
Între 15 și 19 iunie, operațiunea a vizat servere asociate Amadey, StealC și malware-ului SocGholish. Australia este una dintre cele nouă țări ale căror autorități judiciare și de aplicare a legii participă la Operation Endgame, potrivit Europol; totuși, Australia nu apărea în lista țărilor implicate în etapa din iunie, iar anunțul Europol nu menționa ASD.
Lecții pentru organizațiile și utilizatorii din România și UE
Pentru companiile și instituțiile din România și din restul UE, cazul arată că oprirea infrastructurii atacatorilor nu echivalează cu remedierea tuturor consecințelor. Dispozitivele suspecte trebuie investigate și curățate, iar parolele expuse schimbate; sesiunile active și cookie-urile de autentificare trebuie revocate, cu MFA păstrată ca măsură suplimentară, nu ca garanție suficientă.
Într-un caz separat, ASD a primit informații că cinci terabytes de date furate de la o companie erau scoase la vânzare, deși firma nu știa că fusese compromisă. Datele cuprindeau documente de afaceri, informații personale și credențiale; agenția a pătruns în infrastructură și le-a distrus înainte de vânzare, inclusiv pe cele aproximativ 4,8 milioane de fișiere provenite de la australieni și sute de mii de la victime din alte țări.
