Die Australian Signals Directorate (ASD) gibt an, die Steuerung eines Amadey-Betreibers von 180.000 infizierten Computern weltweit getrennt zu haben, darunter Rechner in Australien. Dadurch konnte der Betreiber nicht weiter auf diese Geräte zugreifen oder Daten von ihnen stehlen.
Laut The Hacker News verschafften sich ASD-Mitarbeitende Zugang zum Backend des kriminellen Betriebs, bevor sie die Verbindungen zu den infizierten Rechnern kappten. Tauri Gregory, kommissarischer stellvertretender Generaldirektor für Nachrichtendienste bei der ASD, beschrieb die Trennung in einem am 27. Oktober veröffentlichten Interview mit ABC News. Dabei handelt es sich um das Veröffentlichungsdatum des Interviews. Der Bericht belegt nicht, wann die Operation stattfand.
Die Maßnahme richtete sich gegen die Infrastruktur eines einzelnen Betreibers innerhalb eines größeren Malware-Ökosystems. The Hacker News berief sich auf eine Analyse von ESET und berichtete, dass Amadey seit 2018 als Dienst an Kriminelle verkauft wird, wobei jeder Käufer ein eigenes Steuerungspanel auf eigenen Servern betreibt. ESET identifizierte 53 verschiedene Amadey-Botnetze, die keine Infrastruktur gemeinsam nutzten.
Die Befehlskette unterbrechen
Eine Amadey-Infektion gibt dem Betreiber die Möglichkeit, einem kompromittierten Computer Befehle zu erteilen. Laut The Hacker News meldet sich die Schadsoftware bei einem Command-and-Control-Server, kann zusätzliche Schadsoftware installieren, Zugangsdaten stehlen und Fernzugriff ermöglichen.
Microsofts Analyse vom 24. Juni beschreibt Amadey als Malware-as-a-Service-Loader, der StealC und andere Payloads ausliefert. StealC ist eine eigenständige Malware-Familie, die sensible Informationen sammelt, darunter Browser-Zugangsdaten und Cookies, und an vom Angreifer kontrollierte Infrastruktur sendet. Die Trennung der Verbindungen eines Amadey-Controllers unterbricht die Fähigkeit dieses Betreibers, die infizierten Rechner zu steuern.
Die Störmaßnahme macht frühere Diebstähle nicht rückgängig. Microsoft zufolge können gestohlene Zugangsdaten innerhalb von 48 bis 72 Stunden genutzt werden oder monatelang ungenutzt bleiben, bevor ein Angreifer sie verwendet. Gestohlene Sitzungs-Cookies können Angreifern außerdem ermöglichen, die Multi-Faktor-Authentifizierung zu umgehen. Dabei handelt es sich um dokumentierte Risiken von Infostealer-Infektionen, nicht um Belege dafür, dass dieser konkrete Betreiber anschließend Unternehmen infiltriert hat.
Getrennte Störmaßnahmen
Auch die Infrastruktur von Amadey war im Juni im Rahmen von Operation Endgame ins Visier genommen worden. Die Mitteilung von Europol beschreibt koordinierte Maßnahmen gegen Amadey, StealC und SocGholish. Australien ist Mitglied der übergeordneten Operation. Europol nannte Australien unter den Teilnehmerstaaten dieser Aktionswoche jedoch nicht und erwähnte auch die ASD nicht. Die Mitteilung belegt daher keinen Zusammenhang mit der neu gemeldeten Maßnahme der ASD.
In einem weiteren Fall, den The Hacker News beschreibt, teilte die ASD mit, ein Hinweis habe darauf hingedeutet, dass fünf Terabyte von einem Unternehmen gestohlene Daten zum Verkauf angeboten wurden. Das Unternehmen hatte nicht bemerkt, dass es kompromittiert worden war. Die ASD habe auf die kriminelle Infrastruktur zugegriffen und die Daten vor einem Verkauf vernichtet, darunter Geschäftsdokumente, personenbezogene Daten und Zugangsdaten. Das vernichtete Material umfasste schätzungsweise 4,8 Millionen Dateien, die von Australiern gestohlen worden waren, sowie Hunderttausende Dateien von Opfern anderswo.
