La Australian Signals Directorate afirma haber desconectado el controlador de Amadey de un ciberdelincuente con respecto a 180.000 equipos infectados en todo el mundo, entre ellos máquinas situadas en Australia, lo que impide que ese operador siga accediendo a los datos de esos equipos o robándolos.
Según The Hacker News, los operadores de la ASD obtuvieron acceso a la infraestructura de back-end de la operación del delincuente antes de cortar sus conexiones con las máquinas infectadas. Tauri Gregory, director general adjunto en funciones de inteligencia de la ASD, describió la desconexión en una entrevista con ABC News publicada el 27 de octubre. Esa es la fecha de publicación de la entrevista; el informe no establece cuándo tuvo lugar la operación.
La intervención se dirigió contra la infraestructura de un único operador dentro de un ecosistema de malware más amplio. The Hacker News, citando el análisis de ESET, informó de que Amadey se vende a delincuentes como servicio desde 2018, y cada comprador gestiona un panel de control independiente en sus propios servidores. ESET identificó 53 botnets de Amadey distintas que no compartían infraestructura.
Romper la cadena de mando
Una infección de Amadey proporciona a su operador un medio para enviar órdenes a un equipo comprometido. Según The Hacker News, el malware se conecta periódicamente con un servidor de comando y control y puede instalar software malicioso adicional, robar credenciales y permitir el acceso remoto.
El análisis de Microsoft del 24 de junio describe Amadey como un cargador (loader) de malware como servicio que se utiliza para distribuir StealC y otras cargas útiles. StealC es una familia de malware distinta que recopila información sensible, como credenciales y cookies de navegadores, y la envía a infraestructura controlada por atacantes. Cortar las conexiones de un controlador de Amadey interrumpe la capacidad de ese operador para dirigir los equipos infectados.
La desarticulación no revierte los robos anteriores. Microsoft afirma que las credenciales robadas pueden utilizarse en un plazo de 48 a 72 horas o permanecer inactivas durante meses antes de que un atacante las emplee. Las cookies de sesión robadas también pueden permitir a los atacantes eludir la autenticación multifactor. Se trata de riesgos documentados de las infecciones por infostealers, y no de pruebas de que este operador concreto llevara a cabo intrusiones posteriores en empresas.
Desarticulaciones separadas
En junio, la infraestructura de Amadey también fue objetivo de la Operación Endgame. El anuncio de Europol describió acciones coordinadas contra Amadey, StealC y SocGholish. Australia forma parte de la operación más amplia, pero Europol no la incluyó entre los países que participaron en esa semana de acción ni mencionó a la ASD. Por tanto, el anuncio no establece una relación con la intervención de la ASD que se acaba de dar a conocer.
En otro caso descrito por The Hacker News, la ASD afirmó haber recibido un aviso de que cinco terabytes de datos robados a una empresa se estaban ofreciendo a la venta. La empresa no sabía que había sido comprometida. La ASD afirmó haber accedido a la infraestructura criminal y destruido los datos antes de que se vendieran, entre ellos documentos empresariales, información personal y credenciales de acceso. El material destruido incluía unos 4,8 millones de archivos robados a australianos y cientos de miles procedentes de víctimas de otros países.
