Австралийская разведка проникла в инфраструктуру Amadey и отключила 180 тысяч заражённых компьютеров

Злоумышленник, использовавший вредоносную программу Amadey, больше не может управлять 180 тысячами заражённых компьютеров по всему миру и похищать с них данные. Среди этих машин есть и австралийские. Об этом сообщило Управление радиотехнической разведки Австралии (Australian Signals Directorate, ASD): его операторы проникли в серверную часть преступной операции и разорвали её связь с жертвами.

«Затем мы отключили этот контроллер Amadey от всех жертв», — рассказала ABC News исполняющая обязанности заместителя генерального директора ASD по разведке Таури Грегори. Интервью вышло 27 октября.

ASD отвечает за радиотехническую разведку и кибербезопасность Австралии. Наступательные киберопераций управления требуют явного одобрения правительства и позволяют срывать деятельность киберпреступников за рубежом, выводя из строя их инфраструктуру.

Что такое Amadey

По данным ESET, с 2018 года Amadey продаётся преступникам по модели «вредонос как услуга». Каждый покупатель разворачивает собственную панель управления на своих серверах. Заражённые компьютеры связываются с командным сервером (C2) покупателя и выполняют его команды.

Главная задача Amadey — устанавливать другое вредоносное ПО, например инфостилер StealC. Кроме того, он умеет похищать учётные данные и предоставлять покупателю удалённый доступ к машине. Чаще всего Amadey попадал на компьютеры через поддельные обновления программ, взломанные установщики и другие загрузчики вредоносного ПО.

Обезвреженная операция была лишь одной из многих: ESET насчитала 53 отдельных ботнета Amadey, не связанных общей инфраструктурой.

Ограничения

Отключение контроллера не отменяет уже совершённых краж. Как отмечает Microsoft, учётные данные, похищенные инфостилерами, могут месяцами лежать без дела, прежде чем злоумышленники пустят их в ход. А украденный сеансовый cookie позволяет обойти многофакторную аутентификацию.

В ежегодном отчёте ASD о киберугрозах, опубликованном 27 октября, эта операция не описана.

Инфраструктура Amadey уже пострадала в июне: с 15 по 19 июня международная операция правоохранительных органов Operation Endgame, проводимая совместно с частными партнёрами, нанесла удар по серверам Amadey, StealC и SocGholish. По данным Европола, Австралия входит в число девяти стран, чьи правоохранительные и судебные органы ведут Operation Endgame. Однако в списке участников июньской недели действий её не было, а ASD в сообщении не упоминается.

Уничтоженные 5 ТБ

В другом случае ASD получило сигнал о том, что на продажу выставлены 5 ТБ данных, похищенных у некой компании. Сама компания не знала о взломе. Среди данных были деловые документы, персональные сведения, логины и пароли. Управление проникло в хранилище и уничтожило данные до того, как их успели продать. По оценкам, среди уничтоженного было около 4,8 млн единиц данных, похищенных у австралийцев, и сотни тысяч — у жертв из других стран.

Источник: The Hacker News