L'Australian Signals Directorate affirme avoir déconnecté le contrôleur Amadey d'un cybercriminel de 180 000 ordinateurs infectés dans le monde, dont des machines situées en Australie. Cet opérateur ne peut donc plus accéder aux données de ces machines ni les voler.
Selon The Hacker News, les opérateurs de l'ASD ont obtenu l'accès au backend de l'opération criminelle avant de couper ses connexions aux machines infectées. Tauri Gregory, directeur général adjoint par intérim du renseignement à l'ASD, a décrit cette déconnexion lors d'un entretien diffusé par ABC News le 27 octobre. Il s'agit de la date de publication de l'entretien : le rapport ne précise pas à quel moment l'opération a eu lieu.
L'intervention visait l'infrastructure d'un seul opérateur au sein d'un écosystème de logiciels malveillants plus vaste. The Hacker News, qui cite l'analyse d'ESET, indique qu'Amadey est vendu à des criminels sous forme de service depuis 2018, chaque acheteur faisant fonctionner un panneau de contrôle distinct sur ses propres serveurs. ESET a identifié 53 botnets Amadey distincts, qui ne partageaient pas d'infrastructure.
Briser la chaîne de commandement
Une infection Amadey permet à son opérateur d'envoyer des commandes à un ordinateur compromis. Selon The Hacker News, le logiciel malveillant se connecte à un serveur de commande et contrôle, peut installer d'autres logiciels malveillants, voler des identifiants et offrir un accès à distance.
L'analyse de Microsoft du 24 juin décrit Amadey comme un chargeur malveillant proposé en tant que service, utilisé pour déployer StealC et d'autres charges utiles. StealC est une famille de logiciels malveillants distincte, qui collecte des informations sensibles, dont les identifiants et les cookies de navigateur, et les envoie à une infrastructure contrôlée par les attaquants. Couper les connexions d'un contrôleur Amadey empêche donc l'opérateur de diriger les machines infectées.
Cette perturbation n'annule pas les vols déjà commis. Microsoft indique que les identifiants volés peuvent être utilisés dans les 48 à 72 heures, ou rester inactifs pendant des mois avant qu'un attaquant ne s'en serve. Les cookies de session volés peuvent aussi permettre aux attaquants de contourner l'authentification multifacteur. Il s'agit de risques documentés liés aux infections par infostealers, et non de preuves que cet opérateur en particulier a mené des intrusions ultérieures dans des entreprises.
Des perturbations distinctes
L'infrastructure d'Amadey a également été ciblée en juin, dans le cadre de l'opération Endgame. L'annonce d'Europol décrit une action coordonnée contre Amadey, StealC et SocGholish. L'Australie fait partie de l'opération plus large, mais Europol n'a pas cité ce pays parmi les participants à cette semaine d'action, ni mentionné l'ASD. L'annonce n'établit donc aucun lien avec l'intervention de l'ASD récemment rendue publique.
Dans un autre cas rapporté par The Hacker News, l'ASD a indiqué avoir reçu un signalement selon lequel 5 téraoctets de données volées à une entreprise étaient mis en vente. L'entreprise ne savait pas qu'elle avait été compromise. L'ASD affirme avoir accédé à l'infrastructure criminelle et détruit les données avant toute vente, notamment des documents d'entreprise, des informations personnelles et des identifiants de connexion. Le matériel détruit comprenait environ 4,8 millions de fichiers volés à des Australiens, ainsi que plusieurs centaines de milliers de fichiers provenant de victimes situées ailleurs.
