ASD отключило преступную сеть Amadey от 180 тысяч заражённых компьютеров

Австралийское управление радиоэлектронной разведки и кибербезопасности ASD получило доступ к серверной части одной из преступных операций с вредоносным ПО Amadey и отключило от управляющего сервера 180 тысяч заражённых компьютеров по всему миру, включая устройства в Австралии. После этого оператор сети лишился возможности управлять этими компьютерами и похищать данные с них.

Исполняющий обязанности заместителя генерального директора ASD по разведке Таури Грегори сообщил ABC News, что следующим шагом после получения доступа стало отключение контроллера Amadey от всех заражённых устройств. ASD действует как австралийское ведомство внешней технической разведки и кибербезопасности; для наступательных киберопераций ему требуется явное одобрение правительства Австралии.

Как устроена инфраструктура Amadey

По оценке ESET, Amadey продаётся преступникам как сервис с 2018 года. Каждый покупатель использует собственную панель управления и собственные серверы. Заражённые компьютеры связываются с командным сервером конкретного покупателя, получают команды и выполняют их.

Основная роль Amadey — установка другого вредоносного ПО, в том числе инфостилера StealC. Программа также способна похищать учётные данные и предоставлять оператору удалённый доступ к заражённой машине. Среди распространённых способов доставки ESET называет поддельные обновления программ, установщики взломанного ПО и другие загрузчики вредоносного кода.

Операция, в которую проникло ASD, была только одной из множества независимых сетей. ESET отслеживала 53 отдельных ботнета Amadey, не использовавших общую инфраструктуру. Поэтому отключение одного контроллера не означает прекращения всей экосистемы Amadey.

Почему отключение не завершает инцидент

Разрыв связи с управляющим сервером не отменяет кражу, которая могла произойти ранее. Microsoft отмечала, что учётные данные, похищенные инфостилерами, могут оставаться неиспользованными месяцами, прежде чем злоумышленники применят их. Украденная сессионная cookie также может позволить обойти многофакторную аутентификацию.

ASD сообщило и о другом эпизоде: ведомство получило сведения о продаже 5 ТБ данных, похищенных у компании, которая не знала о взломе. В массиве находились деловые документы, персональные данные, логины и пароли. Агентство получило доступ к данным и уничтожило их до продажи; среди удалённых файлов было около 4,8 млн записей, похищенных у австралийцев, а также сотни тысяч записей жертв из других стран.

Контекст международных действий

В июне инфраструктуру Amadey уже затрагивала международная правоохранительная операция Endgame. С 15 по 19 июня она была направлена против серверов, связанных с Amadey, StealC и SocGholish. По сообщению Europol, Австралия входит в число девяти стран, чьи правоохранительные и судебные органы ведут эту операцию совместно, хотя в списке участников июньской недели действий она не указывалась.

Для бизнеса практический вывод состоит в том, что нейтрализация командного сервера не должна считаться финалом реагирования. Если есть риск заражения стилером, необходимо проверять возможную компрометацию учётных данных, менять пароли и отзывать активные сессии, поскольку ранее похищенные данные могут быть использованы позднее.