Австралийское управление радиоэлектронной разведки ASD получило доступ к серверной части преступной кампании и отключило ботнет Amadey от 180 тысяч заражённых компьютеров по всему миру. Оператор больше не может отправлять им команды или забирать новые данные, но для компаний это не повод вычёркивать инцидент из списка рисков: ранее украденные пароли и сессионные токены никуда автоматически не исчезают.
Как сообщает The Hacker News, операция затронула одну из независимых инфраструктур, работающих с Amadey. Исполняющий обязанности заместителя гендиректора ASD по разведке Таури Грегори рассказал ABC News, что после доступа к панели управления специалисты ведомства разорвали связь контроллера со всеми заражёнными устройствами. Среди жертв были и австралийские пользователи, однако география кампании не ограничивалась одной страной.
Amadey продаётся преступникам по модели malware-as-a-service как минимум с 2018 года. Покупатель получает не единый «общий» ботнет, а собственную панель управления и серверы. Заражённый компьютер периодически обращается к этому command-and-control-серверу, получает инструкции и может стать площадкой для следующей стадии атаки. Такая схема неприятна именно своей тиражируемостью: ликвидация одного узла бьёт по конкретному оператору, но не выключает всю экосистему вредоноса.
Основная роль Amadey — доставить на устройство другие инструменты, в том числе стилеры вроде StealC. Сам вредонос также способен похищать учётные данные и предоставлять удалённый доступ к машине. Входной точкой обычно становятся поддельные обновления программ, установщики взломанного ПО и другие загрузчики. Для ИТ-отдела это довольно приземлённая угроза: один запуск «бесплатного» инсталлятора на домашнем устройстве сотрудника может закончиться доступом к корпоративной почте, облаку или VPN.
Исследователи ESET ранее отслеживали 53 отдельных сети Amadey, не связанных общей инфраструктурой. Поэтому новость из Австралии важна не только цифрой в 180 тысяч машин. Она показывает, что правоохранительные и государственные киберподразделения всё чаще работают не по принципу «предупредили пользователей», а вмешиваются в управляющую инфраструктуру противника. При этом технический эффект таких операций ограничен: обезвреженный контроллер не лечит компьютер, не отзывает уже скомпрометированные учётные записи и не возвращает данные владельцу.
Особенно уязвимы организации, где компрометацию пытаются оценивать только по факту подозрительной активности в сети. По данным анализа Microsoft, похищенные инфостилерами данные могут лежать у злоумышленников месяцами до первого использования. Сессионная cookie, украденная из браузера, способна дать доступ к сервису в обход многофакторной аутентификации. Иными словами, формальное отключение заражённой машины от преступного сервера — хороший результат для будущих атак, но не индульгенция для уже скомпрометированных аккаунтов.
В июне инфраструктура Amadey уже попадала в поле зрения международной операции Endgame. С 15 по 19 июня её участники нацеливались на серверы, связанные с Amadey, StealC и SocGholish. Австралия входит в число девяти стран, чьи судебные и правоохранительные органы участвуют в Endgame, хотя в опубликованном тогда сообщении Europol не указывалась среди стран недели активных действий, а ASD отдельно не упоминалось. Нынешняя операция выглядит как ещё один пример давления на рынок загрузчиков и стилеров, где преступники умеют быстро менять домены, серверы и посредников.
ASD также раскрыло отдельный случай: ведомство получило информацию о продаже пяти терабайт данных, украденных у компании, которая ещё не знала о взломе. Специалисты проникли в инфраструктуру и уничтожили массив до продажи. По оценке агентства, среди удалённых файлов были данные примерно 4,8 млн австралийцев и сотен тысяч жителей других стран, включая документы, персональные сведения, логины и пароли. Метод спорный с точки зрения международной практики, но логика понятна: чем раньше сорвана монетизация утечки, тем меньше времени у злоумышленников на повторное использование данных.
Для российских разработчиков и бизнеса вывод не сводится к совету «не скачивать пиратское ПО» — хотя он по-прежнему уместен. Нужны контроль расширений браузера и загрузок, защита рабочих станций, отзыв активных сессий после инцидента, смена паролей и MFA, устойчивый к краже токенов. Ботнет Amadey можно отключить от части жертв, но его модель переживает отдельные блокировки: пока есть спрос на первоначальный доступ и готовые панели управления, новые контроллеры будут появляться быстрее, чем их успеют внести в очередной список блокировок.
