Киберпрестъпник, използващ зловредния софтуер Amadey, вече не може да осъществява достъп или да краде данни от 180 000 заразени компютъра по целия свят, включително и в Австралия, съобщават от Австралийската дирекция за радиоелектронно разузнаване (ASD). Операторите на агенцията са получили достъп до бекенда на операцията на престъпника и са прекъснали връзката му с тези компютри.

„Следващите стъпки, които предприехме, бяха да изключим този контролер на Amadey от всички тези жертви“, заяви Тори Грегъри, изпълняващ длъжността заместник генерален директор по разузнаването в ASD, в интервю за ABC News, публикувано на 27 октомври.

ASD е австралийската агенция за външно радиоелектронно разузнаване и киберсигурност. Нейните офанзивни кибероперации изискват изрично одобрение от австралийското правителство и могат да неутрализират киберпрестъпници в чужбина чрез деактивиране на тяхната инфраструктура.

Amadey се продава на престъпници като услуга от 2018 г., според анализ на Amadey от ESET. Всеки купувач управлява собствен контролен панел на свои собствени сървъри.

Компютрите, заразени с Amadey, се свързват със сървъра за командване и контрол (C2) на своя купувач и изпълняват неговите заповеди. Основната задача на Amadey е да инсталира допълнителен зловреден софтуер, като например инструмента за кражба на информация StealC. Той може също така да краде идентификационни данни и да предоставя на купувача отдалечен достъп до машината.

Най-често срещаните начини, по които Amadey достига до компютрите, са фалшиви софтуерни актуализации, инсталатори на пиратски софтуер и други зареждащи модули за зловреден софтуер.

Операцията с Amadey на този престъпник е била една от многото. При своето проследяване ESET идентифицира 53 отделни ботнета на Amadey, които не споделят обща инфраструктура.

Прекъсването на връзката на контролера от неговите жертви също така не отменя предишни кражби. Идентификационните данни, откраднати от софтуер за кражба на информация, могат да останат неизползвани с месеци, преди атакуващите да се възползват от тях, според анализ на Microsoft. Открадната сесийна бисквитка може да позволи на атакуващия да заобиколи многофакторното автентикиране (MFA).

Годишният доклад за киберзаплахите на ASD, публикуван на 27 октомври, не описва операцията.

Инфраструктурата на Amadey беше засегната и през юни от Operation Endgame – международна операция на правоприлагащите органи, работеща съвместно с частни партньори. Между 15 и 19 юни операцията беше насочена срещу сървъри, свързани с Amadey, StealC и зловредния софтуер SocGholish.

Австралия е една от деветте държави, чиито правоприлагащи и съдебни органи ръководят съвместно Operation Endgame, според съобщението на Европол от юни. Тя не присъстваше в списъка на Европол с държавите, участвали в седмицата на действията през юни, а съобщението не споменава ASD.

В отделен случай ASD заяви, че е получила сигнал, че се продават 5 терабайта данни, откраднати от бизнес организация. Компанията не е знаела, че е била компрометирана. Данните са включвали бизнес документи, лични данни, както и данни за вход и пароли.

Агенцията е проникнала и е унищожила данните, преди да успеят да бъдат продадени. Унищожените файлове включват приблизително 4,8 милиона файла, откраднати от австралийци, и стотици хиляди, взети от жертви в други страни.