Avustralya, Amadey Kötü Amaçlı Yazılımının Arka Ucuna Sızdı ve 180.000 Enfekte Bilgisayarın Erişimini Kesti

Avustralya Sinyal Direktörlüğü (ASD), Amadey kötü amaçlı yazılımını kullanan bir suçlunun artık dünya genelindeki 180.000 enfekte bilgisayardan, Avustralya'dakiler dahil, veriye erişemeyeceğini veya veri çalamayacağını söyledi. Kurum operatörleri, operasyonun arka ucuna erişim sağladı ve denetleyicinin bu bilgisayarlarla bağlantısını kesti; bu bilgiyi ASD istihbarat biriminin genel müdür yardımcısı vekili Tauri Gregory aktardı. Gregory, 27 Ekim'de yayımlanan ABC News röportajında, attıkları sonraki adımın o Amadey denetleyicisinin tüm bu kurbanlarla bağlantısını kesmek olduğunu söyledi.

ASD Denetleyiciyi Nasıl Devre Dışı Bıraktı

ASD, Avustralya'nın dış sinyal istihbaratı ve siber güvenlik kurumudur. Kurumun saldırı amaçlı siber operasyonları Avustralya hükümetinden açık onay gerektirir ve altyapılarını devre dışı bırakarak yurt dışındaki siber suçluları etkisiz hale getirebilir. Gregory, ABC News'e operatörlerin suçlunun operasyonunun arka ucuna erişim sağladığını ve ardından enfekte makinelerin bağlantısını kestiğini söyledi.

Amadey Ne Yapar

ESET'in analizine göre Amadey, 2018'de suçlulara hizmet olarak satıldı. Her alıcı kendi sunucularında kendi denetim panelini çalıştırır; enfekte bilgisayarlar alıcının komuta ve kontrol sunucusuna bağlanır ve onun emirlerini yerine getirir. Amadey'in temel görevi StealC bilgi hırsızı gibi daha fazla kötü amaçlı yazılım kurmaktır; ayrıca kimlik bilgilerini çalabilir ve alıcıya makineye uzaktan erişim verebilir.

Amadey'in bilgisayarlara ulaşmasının en yaygın yolları sahte yazılım güncellemeleri, kırılmış yazılım yükleyicileri ve diğer kötü amaçlı yazılım yükleyicileriydi. Suçlunun operasyonu birçok operasyondan biriydi ve ESET, altyapıyı paylaşmayan 53 ayrı Amadey botnet'ini belirledi.

Devre Dışı Bırakmanın Sınırları

Denetleyicinin kurbanlarından bağlantısının kesilmesi, daha önceki hırsızlığı geri almaz. Microsoft'un analizine göre infostealer'lar tarafından çalınan kimlik bilgileri, saldırganlar bunları kullanmadan önce aylarca kullanılmadan kalabilir ve çalınan bir oturum çerezi, saldırganın çok faktörlü kimlik doğrulamayı atlamasına izin verebilir.

27 Ekim'de yayımlanan ASD'nin yıllık siber tehdit raporu, bu operasyonu anlatmıyor. Amadey altyapısı ayrıca Haziran'da, özel ortaklarla çalışan uluslararası bir kolluk operasyonu olan Operation Endgame tarafından da devre dışı bırakıldı. 15-19 Haziran arasında bu operasyon, Amadey, StealC ve SocGholish kötü amaçlı yazılımıyla ilişkili sunucuları hedef aldı.

Operation Endgame ve Ayrı Bir Dava

Europol'ün Haziran duyurusuna göre Avustralya, Operation Endgame'i birlikte yürüten dokuz ülkeden biridir. Avustralya, Haziran eylem haftasına katılan ülkelerin Europol listesinde yer almıyordu ve duyuru ASD'den bahsetmiyor.

Ayrı bir davada ASD, bir işletmeden çalınan 5 terabayt verinin satışa çıkarıldığına dair bir ihbar aldığını söyledi. İşletme hack'lendiğini bilmiyordu ve veriler iş belgeleri, kişisel veriler ile giriş kimlik bilgileri ve parolalar içeriyordu. Kurum, veriler satılmadan önce içeri girdi ve onları yok etti; yok edilen dosyalar arasında Avustralyalılardan çalınan tahmini 4,8 milyon dosya ve diğer ülkelerdeki kurbanlardan alınan yüz binlerce dosya vardı.

Kaynaklar: The Hacker News