Amadey, de malwaredienst die criminelen gebruiken om wereldwijd computers te infecteren, is door de Australian Signals Directorate (ASD) afgesneden bij 180.000 slachtoffers, waaronder apparaten in Australië. Het Australische inlichtingenagentschap kreeg toegang tot de backend van een criminele Amadey-operatie en koppelde de controller daarna los van alle getroffen computers. “The next steps that we took were to disconnect that Amadey controller from all those victims,” zegt Tauri Gregory, waarnemend adjunct-directeur-generaal inlichtingen bij ASD. Hoe de dienst precies toegang kreeg tot de backend, maakt het agentschap niet bekend.
Amadey wordt sinds 2018 als malware-as-a-service verkocht: elke koper beheert een eigen controlepaneel op eigen servers, en geïnfecteerde computers melden zich bij de command-and-control-server van die koper. De malware installeert doorgaans extra schadelijke software, zoals de infostealer StealC, kan inloggegevens stelen en geeft de koper externe toegang tot het apparaat. Verspreiding verloopt vooral via nepupdates, gecrackte software-installaties en andere malware-loaders. Beveiligingsbedrijf ESET identificeerde 53 losse Amadey-botnets die onderling geen infrastructuur deelden.
Het loskoppelen van de backend stopt de toegang van de criminelen, maar maakt eerdere diefstal niet ongedaan: gestolen inloggegevens en sessiecookies kunnen nog maanden bruikbaar zijn en soms zelfs multifactorauthenticatie omzeilen. Over aanhoudingen of strafvervolging meldt ASD niets.
De actie volgt op Operation Endgame, de internationale operatie die in juni dit jaar al infrastructuur van Amadey, StealC en SocGholish trof. Australië behoort tot de negen landen die gezamenlijk Operation Endgame uitvoeren, maar stond niet op de lijst van deelnemers die Europol voor de actieweek van juni publiceerde.
In een afzonderlijke zaak kreeg ASD een tip dat criminelen 5 terabyte gestolen bedrijfsgegevens te koop aanboden. De dienst drong de infrastructuur binnen en vernietigde de data voordat die verkocht kon worden. Daaronder zaten naar schatting 4,8 miljoen persoonsgegevens van Australiërs en honderdduizenden gegevens van slachtoffers uit andere landen.
Voor organisaties is dit vooral een herinnering dat het stilleggen van malware-infrastructuur niet betekent dat eerder gestolen gegevens weer veilig zijn. Wie vermoedt dat bedrijfssystemen ooit met Amadey of StealC zijn besmet, doet er goed aan wachtwoorden en sessies alsnog te vernieuwen en logging na te kijken op verdachte sessieactiviteit.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.