Австралія порушує роботу серверної частини Amadey і від'єднує 180 000 заражених комп'ютерів

Австралійська служба сигналів (ASD) заявила, що злочинець, який використовує шкідливе ПЗ Amadey, більше не може отримувати доступ до даних або викрадати їх з 180 000 заражених комп'ютерів у всьому світі, зокрема з деяких в Австралії. Оператори агентства отримали доступ до серверної частини операції та від'єднали її від цих комп'ютерів, повідомила Таурі Грегорі, виконувач обов'язків заступника генерального директора з питань розвідки ASD. Грегорі розповіла ABC News в інтерв'ю, опублікованому 27 жовтня, що наступними кроками було від'єднання цього контролера Amadey від усіх цих жертв.

Як ASD порушила роботу контролера

ASD є австралійським агентством зовнішньої розвідки сигналів і кібербезпеки. Його наступальні кібероперації потребують явного схвалення австралійського уряду й можуть порушувати роботу кіберзлочинців за кордоном шляхом вимкнення їхньої інфраструктури. Грегорі розповіла ABC News, що оператори отримали доступ до серверної частини операції злочинця перед тим, як від'єднати її від заражених машин.

Що робить Amadey

Amadey продавали злочинцям як послугу у 2018 році, за даними ESET. Кожен покупець запускає власну панель керування на власних серверах, а заражені комп'ютери виходять на зв'язок із командно-контрольним сервером покупця та виконують його накази. Основне завдання Amadey полягає в установленні іншого шкідливого ПЗ, наприклад крадіжника даних StealC; він також може викрадати облікові дані та надавати покупцю віддалений доступ до машини.

Найпоширенішими способами потрапляння Amadey на комп'ютери були підроблені оновлення програмного забезпечення, зламані інсталятори програм і завантажувачі іншого шкідливого ПЗ. Операція злочинця була однією з багатьох, а ESET виявила 53 окремі ботнети Amadey без спільної інфраструктури.

Обмеження порушення роботи

Від'єднання контролера від жертв не скасовує попередніх крадіжок. Облікові дані, викрадені крадіжниками даних, можуть залишатися невикористаними місяцями, перш ніж нападники їх використають, за даними Microsoft, а викрадений сесійний cookie може дозволити нападнику обійти багатофакторну автентифікацію.

Щорічний звіт ASD про кіберзагрози, опублікований 27 жовтня, не описує операцію. Інфраструктуру Amadey також порушили у червні в межах Operation Endgame, міжнародної правоохоронної операції, що працює з приватними партнерами. З 15 по 19 червня ця операція націлилася на сервери, пов'язані з Amadey, StealC і шкідливим ПЗ SocGholish.

Operation Endgame і окремий випадок

Австралія є однією з дев'яти країн, чиї правоохоронні та судові органи спільно проводять Operation Endgame, за червневим оголошенням Europol. Австралії не було у списку країн Europol, які брали участь у червневому тижні дій, а в оголошенні не згадується ASD.

В окремому випадку ASD повідомила, що отримала наводку про продаж 5 терабайтів даних, викрадених у бізнесу. Бізнес не знав, що його зламали, а дані містили бізнес-документи, особисті дані, а також облікові дані для входу й паролі. Агентство проникло в систему й знищило дані до того, як їх могли продати; серед знищених файлів було орієнтовно 4,8 мільйона файлів, викрадених в австралійців, і сотні тисяч, узятих у жертв в інших країнах.

Джерела: The Hacker News