De Australische Signals Directorate heeft de backend van Amadey-malware overgenomen en de toegang tot 180.000 geïnfecteerde computers wereldwijd afgesloten.
De Australische Signals Directorate (ASD) heeft de controle overgenomen van de backend van de Amadey-malware en daarmee de toegang van criminelen tot ongeveer 180.000 geïnfecteerde computers wereldwijd, waaronder ook systemen in Australië, afgesloten. Hierdoor kunnen de aanvallers geen data meer stelen of opdrachten uitvoeren op deze apparaten.
Volgens Tauri Gregory, plaatsvervangend directeur-generaal van ASD, werden de Amadey-commandocontrollers van alle slachtoffers losgekoppeld, waarmee de operatie effectief werd verstoord. ASD is de Australische buitenlandse inlichtingen- en cybersecuritydienst die met expliciete toestemming van de overheid offensieve cyberoperaties uitvoert om cybercriminelen in het buitenland te verstoren door hun infrastructuur uit te schakelen. Deze offensieve cyberoperaties zijn onderdeel van hun aanpak.
Amadey werd sinds 2018 als malware-as-a-service aan criminelen verkocht, waarbij elke koper een eigen controlepaneel op eigen servers beheert. Geïnfecteerde computers communiceren met de command-and-control (C2) servers van de koper en voeren diens opdrachten uit. De malware installeert onder andere extra schadelijke software zoals de StealC-infostealer, die inloggegevens steelt en de aanvaller toegang op afstand geeft. De infecties vonden vooral plaats via nepsoftware-updates, illegale software-installers en andere malware-loaders. ESET identificeerde 53 afzonderlijke Amadey-botnets die elk hun eigen infrastructuur gebruikten.
Het loskoppelen van de controllers voorkomt nieuwe diefstal, maar herstelt niet eerder gestolen gegevens. Volgens Microsofts analyse kunnen gestolen credentials maandenlang ongebruikt blijven voordat aanvallers ze inzetten. Ook kunnen gestolen sessiecookies multi-factor authenticatie omzeilen.
De verstoring van Amadey volgt op eerdere acties, zoals de internationale operatie Endgame in juni, waarbij servers van Amadey, StealC en SocGholish werden aangevallen. Australië is een van de negen landen die deze operatie gezamenlijk uitvoeren, al werd ASD niet expliciet genoemd in de aankondiging van Europol.
In een aparte zaak ontving ASD een tip over 5 terabyte aan gestolen bedrijfsdata die te koop werden aangeboden, zonder dat het bedrijf wist dat het was gehackt. De data bestond uit bedrijfsdocumenten, persoonlijke gegevens en inloggegevens. ASD wist de data te vernietigen voordat deze kon worden verkocht. Van de vernietigde bestanden was ongeveer 4,8 miljoen afkomstig van Australische slachtoffers, met daarnaast honderden duizenden uit andere landen.
