Le malware Amadey perd la main sur 180 000 ordinateurs : l'agence australienne ASD a infiltré le backend du cybercriminel.

Un cybercriminel qui utilisait le malware Amadey ne peut plus accéder à 180 000 ordinateurs infectés. Il ne peut plus non plus y voler de données. C’est ce qu’affirme l’Australian Signals Directorate (ASD), l’agence australienne du renseignement électromagnétique. Par ailleurs, des machines situées en Australie figuraient parmi les victimes.

Cette annonce est notable. En effet, les agences gouvernementales passent rarement de la défense passive à une intervention directe sur l’infrastructure d’un acteur malveillant. Ici, les opérateurs de l’ASD ont agi à la source.

Le malware Amadey privé de 180 000 victimes

Selon l’ASD, ses opérateurs ont obtenu un accès au backend de l’opération criminelle. Il s’agit de la partie de l’infrastructure qui sert à piloter les machines compromises. Ainsi, une fois à l’intérieur, l’agence a pu déconnecter le contrôleur Amadey de tous ces ordinateurs.

Le résultat est net. En effet, le criminel a perdu toute capacité de commande sur ce parc de 180 000 appareils. Autrement dit, il ne peut plus donner d’instructions aux machines. Il ne peut pas non plus récupérer ce qu’elles collectaient.

Les victimes sont réparties dans le monde entier. L’opération ne se limite donc pas à un enjeu national. Elle touche un réseau d’appareils compromis à l’échelle mondiale.

Une opération menée depuis le backend

L’intérêt de cette méthode est évident. Plutôt que de nettoyer les ordinateurs un par un, l’agence s’est attaquée au centre de commandement. Ainsi, en coupant ce lien, elle neutralise d’un coup l’ensemble des machines rattachées à ce contrôleur.

Cette approche présente plusieurs avantages :

• elle agit à grande échelle, sans intervention sur chaque poste ;
• elle prive également l’attaquant de ses moyens de contrôle ;
• enfin, elle interrompt le vol de données en cours.

Toutefois, une précision s’impose. Couper l’accès du criminel ne signifie pas forcément que le logiciel malveillant a disparu des ordinateurs. D’après les éléments communiqués, c’est la liaison avec le contrôleur qui a été rompue. Il est donc prudent de considérer que certains postes restent infectés tant qu’ils n’ont pas été vérifiés.

Pourquoi cette action contre le malware Amadey compte

Amadey est un logiciel malveillant utilisé pour piloter des machines à distance et voler des informations. Ce type d’outil attire les cybercriminels. En effet, il leur permet de gérer un grand nombre de victimes depuis une seule interface. Le démantèlement de cette interface change donc la donne.

En outre, cette intervention envoie un message. Les opérateurs de botnets ne sont pas à l’abri d’une riposte étatique. Leur infrastructure peut être infiltrée, observée, puis neutralisée.

Par ailleurs, l’opération illustre une évolution des stratégies de défense. Les agences ne se contentent plus de publier des alertes. Elles agissent désormais directement sur les outils des attaquants lorsque la situation le justifie.

Il faut néanmoins rester mesuré. Un criminel privé de son contrôleur peut reconstruire une infrastructure. Il peut aussi réinfecter des machines par de nouvelles campagnes. La perte de 180 000 appareils est un coup dur. Cependant, elle n’est pas nécessairement définitive.

Quelles conséquences pour les victimes ?

Pour les propriétaires des ordinateurs concernés, le risque immédiat diminue. En effet, le cybercriminel ne peut plus exfiltrer de données depuis ces machines via ce contrôleur. En revanche, les informations déjà volées avant l’intervention restent potentiellement exposées.

C’est pourquoi les utilisateurs et les entreprises ne doivent pas baisser la garde. Un poste qui a hébergé un logiciel de ce type a pu livrer des mots de passe, des données personnelles ou des accès professionnels. Ces éléments doivent donc être considérés comme compromis.

Ce qu’il faut retenir

• L’ASD affirme avoir coupé l’accès d’un criminel utilisant Amadey à 180 000 ordinateurs infectés dans le monde.
• Les opérateurs de l’agence ont pénétré le backend de l’opération, puis déconnecté le contrôleur des machines.
• Des ordinateurs situés en Australie étaient également concernés.
• Cependant, la déconnexion ne garantit pas que les machines soient nettoyées.

Recommandations

• Lancez d’abord une analyse complète avec un antivirus ou un EDR à jour sur les postes suspects.
• Ensuite, changez les mots de passe, en particulier ceux enregistrés dans les navigateurs, depuis un appareil sain.
• Activez l’authentification multifacteur sur tous les comptes sensibles.
• Surveillez également les connexions inhabituelles sur vos comptes personnels et professionnels.
• Maintenez le système et les logiciels à jour, et limitez l’exécution de fichiers téléchargés de source non fiable.
• Enfin, en cas de doute sur un poste, envisagez une réinstallation complète du système.

Source : Australia Gets Into Amadey Malware Backend, Cuts Off Access to 180,000 Infected Computers