אוסטרליה משתקת את ה-backend של Amadey ומנתקת 180,000 מחשבים נגועים

מינהל האותות האוסטרלי (ASD) הודיע כי פושע שהפעיל את הנוזקה Amadey אינו יכול עוד לגשת אל 180,000 מחשבים נגועים ברחבי העולם או לגנוב מהם מידע, ובהם כמה מחשבים באוסטרליה. מפעילי הסוכנות השיגו גישה לתשתית האחורית של המבצע וניתקו אותה מאותם מחשבים, לפי תאורי גרגורי, ממלא מקום סגן המנהל הכללי למודיעין ב-ASD. גרגורי סיפר ל-ABC News בראיון שפורסם ב-27 באוקטובר כי הצעד הבא היה לנתק את הבקר של Amadey מכל אותם קורבנות.

כיצד שיבש ASD את הבקר

ASD הוא המינהל למודיעין אותות חוץ ולסייבר של אוסטרליה. המבצעים ההתקפיים שלו מחייבים אישור מפורש של ממשלת אוסטרליה, והם יכולים לשבש עברייני סייבר בחו"ל באמצעות השבתת התשתית שלהם. גרגורי אמר ל-ABC News כי המפעילים השיגו גישה לתשתית האחורית של המבצע של הפושע לפני שניתקו אותה מהמכונות הנגועות.

מה עושה Amadey

Amadey נמכר לעבריינים כשירות ב-2018, לפי הניתוח של ESET. כל קונה מפעיל פאנל שליטה משלו על השרתים שלו, והמחשבים הנגועים פונים לשרת הפיקוד והשליטה של הקונה ומבצעים את פקודותיו. תפקידו העיקרי של Amadey הוא להתקין נוזקות נוספות, כמו גונב המידע StealC; הוא יכול גם לגנוב פרטי התחברות ולתת לקונה גישה מרחוק למחשב.

הדרכים הנפוצות ביותר שבהן הגיע Amadey למחשבים היו עדכוני תוכנה מזויפים, מתקינים של תוכנה פרוצה ומטעינים של נוזקות אחרות. המבצע של הפושע היה אחד מני רבים, ו-ESET זיהתה 53 רשתות בוטנט נפרדות של Amadey שלא חלקו תשתית.

גבולות השיבוש

ניתוק בקר מהקורבנות שלו אינו מבטל גניבות קודמות. פרטי התחברות שנגנבו על ידי גונבי מידע יכולים להישאר ללא שימוש חודשים לפני שתוקפים עושים בהם שימוש, לפי הניתוח של Microsoft, ועוגיית סשן גנובה יכולה לאפשר לתוקף לעקוף אימות רב-גורמי.

Operation Endgame ומקרה נפרד

דוח האיומים הקיברנטיים השנתי של ASD, שפורסם ב-27 באוקטובר, אינו מתאר את המבצע. התשתית של Amadey שובשה גם ביוני על ידי Operation Endgame, מבצע אכיפה בינלאומי שפועל עם שותפים פרטיים. בין 15 ל-19 ביוני כיוון המבצע שרתים הקשורים ל-Amadey, ל-StealC ולנוזקה SocGholish.

לפי הודעת Europol מיוני, אוסטרליה היא אחת מתשע מדינות שרשויות אכיפת החוק והרשויות השיפוטיות שלהן מפעילות יחד את Operation Endgame. אוסטרליה לא הופיעה ברשימת המדינות של Europol שהשתתפו בשבוע הפעולה ביוני, וההודעה אינה מזכירה את ASD.

במקרה נפרד מסר ASD כי קיבל מידע שלפיו 5 טרה-בייט של נתונים שנגנבו מעסק עמדו למכירה. העסק לא ידע שנפרץ, והנתונים כללו מסמכים עסקיים, מידע אישי ופרטי התחברות וסיסמאות. הסוכנות חדרה למערכת והשמידה את הנתונים לפני שנמכרו; הקבצים שהושמדו כללו כ-4.8 מיליון קבצים שנגנבו מאוסטרלים ומאות אלפים שנלקחו מקורבנות במדינות אחרות.

מקורות: The Hacker News