ASD prekinuo Amadey vezu sa 180.000 zaraženih računara
Australijski Signals Directorate (ASD) saopštio je da je preuzeo pristup pozadinskoj infrastrukturi jedne kriminalne operacije zasnovane na malveru Amadey i prekinuo njenu vezu sa 180.000 zaraženih računara širom sveta, uključujući uređaje u Australiji. Time je operateru te instance onemogućen dalji pristup računarima i krađa podataka preko kontrolne infrastrukture.
Vršilac dužnosti zamenika generalnog direktora za obaveštajne poslove u ASD-u Tauri Gregory objasnio je da je sledeći korak bio odvajanje Amadey kontrolera od svih žrtava. ASD je australijska agencija za strano signalno obaveštavanje i sajber-bezbednost, a za ofanzivne sajber-operacije potrebno joj je izričito odobrenje australijske vlade.
Kako funkcioniše Amadey infrastruktura
ESET navodi da se Amadey od 2018. prodaje kriminalcima kao usluga. Kupci koriste sopstvene kontrolne panele i servere, pa zaraženi računari periodično kontaktiraju njihov komandno-kontrolni, odnosno C2 server, preuzimaju naloge i izvršavaju ih.
Osnovna uloga Amadeya je instaliranje dodatnog malvera, među kojim je i infostealer StealC. Malver može krađom akreditiva da ugrozi naloge, a kupcu omogućava i udaljeni pristup zaraženoj mašini. Lažna ažuriranja softvera, instalateri krekovanog softvera i drugi učitavači malvera bili su česti načini širenja.
Ova akcija nije obuhvatila čitav ekosistem Amadeya. ESET je u svom praćenju identifikovao 53 odvojena Amadey botneta bez zajedničke infrastrukture. Zato uklanjanje jednog kontrolera može zaustaviti komunikaciju njegove mreže, ali ne utiče automatski na druge operatere koji koriste isti malver.
Prekid kontrole nije i poništavanje krađe
Odvajanje zaraženih uređaja od C2 servera ne poništava podatke koji su ranije ukradeni. Microsoft upozorava da akreditivi koje preuzmu infostealeri mogu ostati neupotrebljeni mesecima pre nego što ih napadači iskoriste. Ukradeni kolačić sesije može napadaču omogućiti zaobilaženje višefaktorske autentifikacije.
Amadey infrastruktura bila je meta i međunarodne akcije Operation Endgame u junu, kada su između 15. i 19. juna gađani serveri povezani sa Amadeyom, StealC-om i malverom SocGholish. Europol je tada naveo da devet zemalja zajedno vodi ovu operaciju preko svojih organa za sprovođenje zakona i pravosuđe.
ASD je u odvojenom slučaju primio informaciju da se na prodaju nudi 5 TB podataka ukradenih iz jedne kompanije koja nije znala da je kompromitovana. Agencija je navela da je pristupila podacima i uništila ih pre prodaje; među njima je procenjeno 4,8 miliona fajlova ukradenih od Australijanaca, uz stotine hiljada fajlova žrtava iz drugih zemalja.
Praktičan zaključak za organizacije
Za organizacije je ključna razlika između prekida aktivne kontrole i saniranja posledica kompromitacije. Kada se otkrije infekcija infostealerom ili udaljenim pristupom, potrebno je promeniti ugrožene lozinke, opozvati aktivne sesije, proveriti pristupe i istražiti moguće dodatne infekcije. Prekid kriminalne infrastrukture smanjuje neposredni rizik, ali zaštita poslovnih naloga zahteva proveru onoga što je sa uređaja već moglo biti odneto.