Um criminoso que usava o malware Amadey já não consegue acessar nem roubar dados de 180 mil computadores infectados em todo o mundo, incluindo alguns na Austrália, segundo a Diretoria de Sinais da Austrália (ASD). Os operadores da agência obtiveram acesso à estrutura de back-end da operação do criminoso e a desconectaram desses computadores.
“Os próximos passos que demos foram desconectar aquele controlador do Amadey de todas essas vítimas”, disse Tauri Gregory, diretor-geral adjunto em exercício de inteligência da ASD, em entrevista publicada em 27 de outubro à ABC News.
A ASD é a agência australiana de inteligência de sinais estrangeiros e de segurança cibernética. Suas operações cibernéticas ofensivas precisam de aprovação explícita do governo australiano e podem interromper criminosos cibernéticos no exterior ao desativar sua infraestrutura.
O Amadey foi vendido a criminosos como serviço em 2018, de acordo com a análise da ESET sobre o Amadey. Cada comprador opera seu próprio painel de controle, em servidores próprios.
Computadores infectados pelo Amadey se conectam ao servidor de comando e controle (C2) de seu comprador e executam suas ordens. A principal função do Amadey é instalar outros malwares, como o malware de roubo de informações StealC. Ele também pode roubar credenciais e dar ao comprador acesso remoto à máquina.
As formas mais comuns de o Amadey chegar aos computadores foram atualizações falsas de software, instaladores de programas crackeados e outros carregadores de malware.
A operação do criminoso com o Amadey era uma entre muitas. Em seu monitoramento, a ESET identificou 53 botnets separadas do Amadey, que não compartilhavam infraestrutura.
Desconectar um controlador de suas vítimas também não desfaz roubos anteriores. Credenciais roubadas por malwares de roubo de informações podem ficar sem uso por meses antes de serem utilizadas por invasores, segundo a análise da Microsoft. Um cookie de sessão roubado pode permitir que um invasor contorne a autenticação multifator (MFA).
O relatório anual de ameaças cibernéticas da ASD, publicado em 27 de outubro, não descreve a operação.
A infraestrutura do Amadey também foi afetada em junho pela Operação Endgame, uma operação internacional de aplicação da lei que trabalha com parceiros privados. Entre 15 e 19 de junho, a operação teve como alvo servidores associados ao Amadey, ao StealC e ao malware SocGholish.
A Austrália é um dos nove países cujas autoridades policiais e judiciais conduzem juntas a Operação Endgame, segundo o anúncio de junho da Europol. O país não constava na lista da Europol de países que participaram da semana de ação de junho, e o comunicado não menciona a ASD.
Em um caso separado, a ASD informou ter recebido uma denúncia de que 5 terabytes (TB) de dados roubados de uma empresa estavam à venda. A empresa não sabia que havia sido invadida. Os dados incluíam documentos empresariais, dados pessoais e credenciais de login e senhas.
A agência invadiu e destruiu os dados antes que pudessem ser vendidos. Os arquivos destruídos incluíam cerca de 4,8 milhões de itens estimados roubados de australianos e centenas de milhares retirados de vítimas em outros países.
