Avustralya Sinyaller Direktörlüğü Amadey altyapısını ele geçirdi ve 180.000 botu devre dışı bıraktı

Bir suç kontrol panelinin içindeki Avustralyalı casuslar

Avustralya Sinyaller Direktörlüğü (ASD), suç amaçlı bir Amadey operasyonunun backend'ine erişim sağladı ve command-and-control sunucusunu, Avustralya'daki makineler de dahil olmak üzere dünyanın dört bir yanındaki yaklaşık 180.000 enfekte bilgisayardan kopardı. ASD'nin vekil istihbarat başyardımcısı Tauri Gregory, operasyonu The Hacker News'in aktardığına göre 27 Ekim'de yayımlanan bir ABC News röportajında anlattı.

Bu, mahkeme kararıyla yapılmış bir domain ele geçirme değildi. ASD, Avustralya'nın yabancı sinyal istihbaratı ve siber güvenlik kurumudur ve taarruzi operasyonları açık hükümet onayı gerektirir. Burada kurum, saldırganın kendi kontrol sistemine girdi ve mağdurları serbest bırakmak için bu sistemi kullandı.

Amadey nasıl yayılıyor ve ne yapıyor

ESET'nin analizine göre Amadey, 2018'den beri suçlulara servis modeliyle pazarlanıyor. Her müşteri kendi sunucularında kendi kontrol panelini çalıştırıyor ve enfekte makineler talimatlar için bağlantı kuruyor. Amadey'nin temel görevi, kimlik bilgisi hırsızlığı ve uzaktan erişimin yanı sıra StealC infostealer gibi ek malware'ları yüklemek.

Enfeksiyon genellikle sahte yazılım güncellemeleri, crack'li kurulum dosyaları ve diğer loader'lar aracılığıyla gerçekleşiyor. Bunlar yazılım açıkları değil kullanıcı kaynaklı yollar olduğundan, bunları kapatacak bir üretici yaması yok; savunma kullanıcı davranışına ve cihaz kontrollerine bağlı.

53 botnetten biri

Aynı servis modeli, operasyonun etkisini sınırlıyor. ESET, altyapı paylaşmayan 53 ayrı Amadey botneti tespit etti. ASD bunlardan birini etkisiz hale getirdi; diğer operatörler çalışmaya devam etti.

Amadey altyapısı yılın başlarında da vurulmuştu. 15–19 Haziran arasında, özel sektör ortaklarıyla çalışan uluslararası bir kolluk kuvveti çabası olan Operation Endgame, Amadey, StealC ve SocGholish ile ilişkili sunucuları hedef aldı. Europol'ün Haziran duyurusunda Avustralya, Operation Endgame'i yürüten dokuz ülke arasında listeleniyor; ancak Avustralya, Haziran eylem haftasına katılan ülkeler arasında görünmüyor ve duyuruda ASD'den söz edilmiyor. Kamuya açık kaynaklara göre ASD'nin eylemi ayrı bir çaba gibi görünüyor ve ayrıntılar resmi bir açıklamayla değil bir röportaj aracılığıyla ortaya çıktı — yine 27 Ekim'de yayımlanan kurumun yıllık siber tehdit raporunda bu operasyon anlatılmıyor.

Kontrolcüyü çevrimdışı bırakmak hırsızlığı geri almaz

Bir kontrolcüyü mağdurlarından koparmak, daha önce çalınmış olanları geri getirmez. Microsoft'un infostealer'lar üzerine araştırması, çalınan kimlik bilgilerinin aylarca kullanılmadan bekleyebildiğini ve çalınmış bir session cookie'nin çok faktörlü kimlik doğrulamayı atlamak için kullanılabildiğini gösteriyor. 180.000 makine artık bu operatöre rapor vermiyor, ancak onlardan halihazırda sızdırılmış her şey hâlâ satışta olabilir.

Ayrı bir vaka: 5 terabayt çalınmış veri

ASD'nin raporu başka bir operasyondan da söz ediyor. Kurum, bir işletmeden çalınan 5 terabaytlık verinin satışa çıkarıldığına dair bir ihbar aldı — hack'lendiğinden haberi olmayan bir işletme. Yığın iş belgeleri, kişisel bilgiler ve giriş kimlik bilgileri içeriyordu. ASD suç altyapısına sızdı ve veriler satılmadan önce onları imha etti. Kurum, dosyalarda Avustralyalılardan alınmış 4,8 milyon öğe bulunduğunu tahmin ediyor — rapor sayılan birimi belirtmiyor — ve diğer ülkelerdeki mağdurlardan da yüz binlerce öğe daha olduğunu.

Her iki durumda da müdahale mağdurların ağlarında değil, saldırganların altyapısında gerçekleşti ve mağdurlar hiçbir rol oynamadı. Bir işletme böyle bir operasyondan, gerçekleştiğini hiç öğrenmeden yararlanabilir — bu da bir daha gerçekleşeceğine güvenemeyeceği anlamına geliyor.

Neden önemli

Bu hikâye, istihbarat kurumlarının taarruzi yeteneklerini doğrudan siber suç altyapısına karşı kullandığını ve somut sonuçlar aldığını gösteriyor: bir operatör 180.000 makinenin kontrolünü kaybetti ve 5 terabayt çalınmış veri hiçbir alıcıya ulaşmadı. Aynı zamanda bu yaklaşımın sınırlarını da gösteriyor. Amadey, düzinelerce bağımsız dağıtıma sahip bir ürün ve topladığı kimlik bilgileri ile cookie'ler, onları çalmak için kullanılan sunuculardan daha uzun ömürlü. Kullanıcıları kötü amaçlı bir güncelleme veya crack'li kurulum dosyası indirmiş olabilecek kurumlar için bu operasyon, bir maruz kalma incelemesinin sonu değil başlangıcı olarak okunmalı: infostealer'dan etkilenmiş herhangi bir makineden gelen kimlik bilgilerini ve session token'larını ele geçirilmiş sayın, session'ları agresif biçimde kısaltın ve iptal edin, kurumsal uygulamalara erişen yönetilmeyen cihazları izleyin, bir ihlalin iç bir uyarıyla değil bir devlet kurumundan öğrenme ihtimaline plan yapın ve kimlik bilgisi suistimalini günler değil aylar boyunca izlemeye devam edin.