ავსტრალიამ Amadey-ის მავნე პროგრამის ბექენდზე წვდომა მოიპოვა, 180 000 ინფიცირებულ კომპიუტერს კავშირი გაუწყვიტა

ავსტრალიის სიგნალების დირექტორატის (ASD) განცხადებით, Amadey-ის მავნე პროგრამის გამოყენებით მოქმედ დამნაშავეს აღარ შეუძლია მსოფლიოში 180 000 ინფიცირებულ კომპიუტერზე წვდომა ან მათგან მონაცემების მოპარვა, მათ შორის ავსტრალიაში არსებულ ზოგიერთზე. ASD-ის დაზვერვის გენერალური დირექტორის მოადგილის მოვალეობის შემსრულებლის, ტაური გრეგორის თქმით, სააგენტოს ოპერატორებმა ოპერაციის ბექენდზე წვდომა მოიპოვეს და მას ამ კომპიუტერებთან კავშირი გაუწყვიტეს. გრეგორიმ ABC News-თან 27 ოქტომბერს გამოქვეყნებულ ინტერვიუში თქვა, რომ შემდეგი ნაბიჯები იყო Amadey-ის იმ კონტროლერის ყველა ამ მსხვერპლისგან გათიშვა.

როგორ შეაფერხა ASD-მ კონტროლერი

ASD არის ავსტრალიის საგარეო სიგნალური დაზვერვისა და კიბერუსაფრთხოების სააგენტო. მის შეტევითი კიბეროპერაციებს ავსტრალიის მთავრობის მკაფიო დამტკიცება სჭირდება და მათ შეუძლიათ საზღვარგარეთ მოქმედ კიბერდამნაშავეებს ინფრასტრუქტურის გათიშვით შეაფერხონ. გრეგორიმ ABC News-ს უთხრა, რომ ოპერატორებმა დამნაშავის ოპერაციის ბექენდზე წვდომა მოიპოვეს, სანამ მას ინფიცირებული მოწყობილობებისგან გათიშავდნენ.

რას აკეთებს Amadey

ESET-ის ანალიზის მიხედვით, Amadey 2018 წელს დამნაშავეებს სერვისის სახით გაიყიდა. ყოველი მყიდველი თავის სერვერებზე საკუთარ მართვის პანელს მართავს, ინფიცირებული კომპიუტერები კი მყიდველის ბრძანებისა და კონტროლის სერვერთან უკავშირდებიან და მის ბრძანებებს ასრულებენ. Amadey-ის მთავარი ამოცანაა კიდევ უფრო მეტი მავნე პროგრამის დაყენება, მაგალითად StealC-ის ინფოსტილერის; მას ასევე შეუძლია საიდენტიფიკაციო მონაცემების მოპარვა და მყიდველისთვის მოწყობილობაზე დისტანციური წვდომის მიცემა.

Amadey-ის კომპიუტერებამდე მიტანის ყველაზე გავრცელებული გზები იყო ყალბი პროგრამული განახლებები, გატეხილი პროგრამული უზრუნველყოფის ინსტალატორები და სხვა მავნე პროგრამის ჩამტვირთავები. დამნაშავის ოპერაცია მრავალთაგან ერთი იყო, ESET-მა კი 53 ცალკეული Amadey-ის ბოტნეტი გამოავლინა, რომლებიც საერთო ინფრასტრუქტურას არ იყენებდნენ.

შეფერხების შეზღუდვები

კონტროლერის მსხვერპლებისგან გათიშვა ადრე ჩადენილ ქურდობას არ აუქმებს. Microsoft-ის ანალიზის მიხედვით, ინფოსტილერების მიერ მოპარული საიდენტიფიკაციო მონაცემები შეიძლება თვეების განმავლობაში გამოუყენებელი დარჩეს, სანამ თავდამსხმელები მათ გამოიყენებდნენ, ხოლო მოპარული სესიის ქუქი თავდამსხმელს მრავალფაქტორიანი ავთენტიფიკაციის გვერდის ავლის საშუალებას აძლევს.

ASD-ის ყოველწლიური კიბერსაფრთხეების ანგარიში, რომელიც 27 ოქტომბერს გამოქვეყნდა, ამ ოპერაციას არ აღწერს. Amadey-ის ინფრასტრუქტურა ივნისშიც შეაფერხა Operation Endgame-მა, საერთაშორისო სამართალდამცავმა ოპერაციამ, რომელიც კერძო პარტნიორებთან ერთად მუშაობს. 15-19 ივნისს ამ ოპერაციამ სამიზნედ აირჩია Amadey-სთან, StealC-სთან და SocGholish-ის მავნე პროგრამასთან დაკავშირებული სერვერები.

Operation Endgame და ცალკე საქმე

Europol-ის ივნისის განცხადების მიხედვით, ავსტრალია იმ ცხრა ქვეყნიდან ერთ-ერთია, რომელთა სამართალდამცავი და სასამართლო ორგანოები Operation Endgame-ს ერთად აწარმოებენ. ავსტრალია არ იყო Europol-ის იმ ქვეყნების სიაში, რომლებიც ივნისის სამოქმედო კვირეულში მონაწილეობდნენ, და განცხადებაში ASD არ მოიხსენიება.

ცალკე საქმეში ASD-მ განაცხადა, რომ მიიღო მინიშნება, თითქოს ბიზნესისგან მოპარული 5 ტერაბაიტი მონაცემი იყიდებოდა. ბიზნესმა არ იცოდა, რომ გატეხილი იყო; მონაცემები მოიცავდა ბიზნეს დოკუმენტებს, პირად მონაცემებს, ასევე შესვლის მონაცემებსა და პაროლებს. სააგენტო სისტემაში შეიჭრა და მონაცემები გაანადგურა, სანამ ის გაიყიდებოდა; განადგურებულ ფაილებში შედიოდა ავსტრალიელებისგან მოპარული დაახლოებით 4,8 მილიონი ფაილი და სხვა ქვეყნების მსხვერპლებისგან აღებული ასობით ათასი ფაილი.

წყაროები: The Hacker News