L'Australian Signals Directorate afferma di aver disconnesso il controller criminale di Amadey da 180.000 computer infetti in tutto il mondo, tra cui macchine in Australia, impedendo a quell'operatore di continuare ad accedere ai dati di quei dispositivi o a sottrarli.
Secondo The Hacker News, gli operatori dell'ASD hanno ottenuto l'accesso al backend dell'operazione criminale prima di recidere le connessioni con le macchine infette. Tauri Gregory, vicedirettore generale facente funzioni per l'intelligence dell'ASD, ha descritto la disconnessione in un'intervista ad ABC News pubblicata il 27 ottobre. Si tratta della data di pubblicazione dell'intervista; il resoconto non stabilisce quando l'operazione sia avvenuta.
L'intervento ha preso di mira l'infrastruttura di un solo operatore all'interno di un più ampio ecosistema di malware. Secondo The Hacker News, che cita l'analisi di ESET, Amadey è venduto ai criminali come servizio dal 2018, e ogni acquirente gestisce un proprio pannello di controllo separato sui propri server. ESET ha individuato 53 botnet Amadey distinte che non condividevano l'infrastruttura.
Interrompere la catena di comando
Un'infezione Amadey dà al suo operatore la possibilità di impartire comandi a un computer compromesso. Il malware contatta un server di comando e controllo e può installare software dannoso aggiuntivo, sottrarre credenziali e fornire accesso remoto, secondo The Hacker News.
L'analisi di Microsoft del 24 giugno descrive Amadey come un loader malware-as-a-service usato per distribuire StealC e altri payload. StealC è una famiglia di malware separata che raccoglie informazioni sensibili, tra cui credenziali e cookie del browser, e le invia a infrastrutture controllate dagli attaccanti. Recidere le connessioni di un controller Amadey interrompe la capacità di quell'operatore di dirigere i computer infetti.
La disattivazione non annulla i furti precedenti. Microsoft afferma che le credenziali rubate possono essere usate entro 48–72 ore oppure restare inattive per mesi prima che un attaccante le utilizzi. I cookie di sessione rubati possono inoltre consentire agli attaccanti di aggirare l'autenticazione a più fattori. Si tratta di rischi documentati delle infezioni infostealer, non di una prova che questo specifico operatore abbia condotto intrusioni aziendali successive.
Interventi separati
Anche l'infrastruttura di Amadey è stata colpita a giugno nell'ambito di Operation Endgame. Il comunicato di Europol descrive un'azione coordinata contro Amadey, StealC e SocGholish. L'Australia fa parte della più ampia operazione, ma Europol non ha incluso il Paese tra quelli che hanno preso parte a quella settimana d'azione né ha menzionato l'ASD. Il comunicato quindi non stabilisce alcun collegamento con l'intervento dell'ASD appena reso noto.
In un altro caso descritto da The Hacker News, l'ASD ha dichiarato di aver ricevuto una segnalazione secondo cui cinque terabyte di dati rubati a un'azienda erano in vendita. L'azienda non si era accorta di essere stata compromessa. L'ASD ha dichiarato di aver avuto accesso all'infrastruttura criminale e di aver distrutto i dati prima della vendita, tra cui documenti aziendali, informazioni personali e credenziali di accesso. Il materiale distrutto comprendeva circa 4,8 milioni di file sottratti ad australiani e centinaia di migliaia di file provenienti da vittime di altri paesi.
