Une coupure au niveau du centre de commande
L’Australian Signals Directorate a révélé que ses opérateurs avaient accédé au backend d’une opération utilisant le maliciel Amadey, puis coupé un acteur criminel de 180 000 ordinateurs infectés à travers le monde, y compris en Australie . L’opération ne consistait donc pas seulement à recommander un nettoyage poste par poste. Elle visait le lien de commandement et contrôle qui permettait au botmaster de continuer à atteindre les machines compromises .
Tauri Gregory, directeur général adjoint par intérim du renseignement à l’ASD, a déclaré à ABC News que l’agence avait déconnecté le contrôleur Amadey de toutes les victimes concernées, empêchant ainsi le criminel d’accéder aux 180 000 ordinateurs et de continuer à voler des données via ce canal . The Hacker News a décrit la même opération comme un accès au backend de l’infrastructure criminelle, suivi d’une coupure entre cette infrastructure et les ordinateurs infectés .
La nuance est essentielle. Dans une réponse classique à incident, il faut identifier chaque poste infecté, l’isoler, le réinstaller ou le nettoyer, puis réinitialiser les comptes associés. Ici, l’ASD a visé l’infrastructure qui coordonnait le botnet. En pratique, le panneau d’administration du criminel peut encore exister quelque part, mais son lien avec ce vivier de victimes a été rompu. Les machines compromises ne répondent plus à ce contrôleur.
Ce que faisait Amadey
Amadey n’est pas une nouveauté spectaculaire ni un exploit isolé. C’est un outil criminel de masse utilisé pour obtenir un premier accès, voler des informations et installer d’autres logiciels malveillants . ABC rapporte que l’ASD a observé Amadey caché dans des logiciels gratuits, notamment une copie illégitime de Photoshop, et l’a vu proposé sur le dark web pour environ 500 dollars américains .
Selon The Hacker News, qui s’appuie sur une analyse d’ESET, Amadey est vendu comme service criminel depuis 2018, chaque acheteur exploitant son propre panneau de contrôle et sa propre infrastructure . Cela explique à la fois la portée et la limite de l’action australienne. L’ASD semble avoir neutralisé une opération criminelle précise, et non effacé toutes les installations Amadey existant dans le monde .
Une fois installé, un ordinateur infecté par Amadey contacte le serveur de commandement et contrôle de son acheteur, puis exécute les ordres reçus . Ces ordres peuvent inclure l’installation de maliciels supplémentaires, comme l’infostealer StealC, le vol direct d’identifiants ou l’ouverture d’un accès distant à la machine . Les voies d’infection courantes comprennent les fausses mises à jour logicielles, les installateurs piratés et d’autres loaders malveillants .
Pour les victimes, l’infection reste souvent invisible jusqu’au moment où les données volées sont exploitées. Une personne qui installe un outil de création piraté peut ne jamais comprendre que ses mots de passe de navigateur, ses cookies, ses accès e-mail ou ses identifiants professionnels ont été aspirés. Une entreprise, elle, ne verra parfois que le symptôme final: une connexion suspecte, une fraude à la facture, une intrusion par rançongiciel ou une annonce de fuite sur un marché criminel.
Pourquoi viser le contrôleur change l’échelle
La leçon centrale est que l’ASD a agi à l’échelle de l’infrastructure. Au lieu de courir après 180 000 machines une par une, l’agence a supprimé l’accès du contrôleur à l’ensemble de la flotte compromise . C’est un résultat défensif obtenu par une opération cyber offensive.
The Hacker News rappelle que les opérations cyber offensives de l’ASD nécessitent une autorisation explicite du gouvernement australien et peuvent servir à perturber des infrastructures cybercriminelles à l’étranger . Le reportage d’ABC inscrit la divulgation sur Amadey dans une présentation plus large du travail offensif de l’ASD contre des criminels qui stockent ou vendent des données personnelles sur le dark web .
Ce type d’action modifie l’économie criminelle. Un botmaster gagne de l’argent parce qu’un grand parc de machines infectées peut être réutilisé: aujourd’hui pour voler des identifiants, demain pour charger un autre maliciel, puis plus tard comme accès revendable pour la fraude ou l’extorsion. Si une agence étatique peut entrer dans le backend et déconnecter le contrôleur, l’opérateur ne perd pas seulement un serveur. Il perd la relation monétisable avec chaque machine qui le contactait.
L’opération protège aussi des victimes qui n’auraient peut-être jamais su qu’elles étaient compromises. Gregory a expliqué que sans l’action de l’ASD, les données de 180 000 entreprises ou particuliers auraient pu être volées, vendues, monétisées autrement ou utilisées pour des crimes ultérieurs, comme la fraude et l’usurpation d’identité . L’intervention agit donc comme une mesure préventive pour des victimes qui n’auraient probablement pas pu réagir assez vite.
Ce que cette neutralisation ne prouve pas
Il ne faut pourtant pas confondre cette perturbation avec un nettoyage mondial d’Amadey. The Layman Security souligne que l’ASD n’a pas précisé quand l’opération avait eu lieu, au-delà du fait qu’elle était récente, ni combien des 180 000 machines se trouvaient en Australie . Le média insiste aussi sur un point crucial: couper le contrôleur bloque les vols futurs depuis ces machines, mais ne revient pas sur les données volées avant la coupure .
Cette limite est déterminante pour les défenseurs. The Hacker News rapporte que les identifiants collectés par des infostealers peuvent rester inutilisés pendant des mois avant d’être exploités, et que des cookies de session volés peuvent permettre de contourner l’authentification multifacteur . Autrement dit, même une perturbation réussie du backend ne réinitialise pas automatiquement les mots de passe, ne révoque pas les sessions de navigateur et ne réinstalle pas les terminaux compromis.
SECNEWS.co.uk formule la même alerte pour les équipes de sécurité: le modèle d’Amadey permet à chaque acheteur d’exploiter sa propre infrastructure, si bien qu’une grande opération de coupure gagne du temps mais n’élimine pas l’écosystème . Le site recommande donc de rechercher activement les infostealers, de révoquer les sessions en plus de changer les mots de passe, et de ne pas compter sur la neutralisation par un tiers .
Pour toute organisation qui détecte des indicateurs Amadey, l’hypothèse prudente est simple: les identifiants, cookies et secrets stockés dans les navigateurs ont pu être exposés avant la déconnexion du contrôleur. La réponse doit inclure la réinstallation des postes, la réinitialisation des mots de passe, la révocation des sessions, la recherche de règles de messagerie non autorisées et l’examen des connexions cloud, VPN et SaaS.
Une autre action offensive: des données volées détruites
L’ASD a également décrit une opération distincte visant 5 téraoctets de données volées à une entreprise qui ignorait avoir été piratée . Selon ABC, le lot contenait des documents d’affaires sensibles, des données personnelles, des identifiants et des mots de passe, et l’ASD est entrée dans l’infrastructure pour détruire les fichiers avant leur vente .
Gregory a indiqué que les données détruites comprenaient environ 4,8 millions de fichiers volés à des Australiens, ainsi que des centaines de milliers de fichiers appartenant à des victimes dans d’autres pays . SECNEWS.co.uk y voit un avertissement sur l’échec de la détection: une entreprise avait perdu un volume massif de données sans s’en apercevoir, et aucune organisation ne devrait compter sur une agence publique pour supprimer ses fichiers volés à sa place .
Ensemble, la coupure du contrôleur Amadey et la destruction de ces 5 téraoctets montrent une doctrine plus large. L’ASD ne se contente pas de répondre après le signalement d’incidents par les victimes. Elle recherche des infrastructures criminelles, des stocks de données volées et des marchés illicites, puis agit pour réduire le dommage lorsqu’elle dispose de l’autorité nécessaire.
Ce que les défenseurs doivent retenir
Pour les équipes de sécurité, l’opération australienne est une bonne nouvelle, mais pas une raison de baisser la garde. Elle prouve qu’une action gouvernementale peut neutraliser un nœud criminel majeur, mais elle montre aussi combien de machines peuvent rester silencieusement enrôlées dans des réseaux de maliciels ordinaires. Le chiffre de 180 000 ordinateurs infectés est assez élevé pour compter à l’échelle mondiale, mais il semble correspondre à la portée d’un opérateur Amadey, non à toute l’économie du malware .
Les enseignements immédiats sont concrets. Bloquer les logiciels piratés et non autorisés sur les appareils gérés. Considérer les installateurs “gratuits” et les fausses mises à jour comme des risques élevés. Surveiller les comportements d’infostealer, et pas seulement le déclenchement d’un rançongiciel. Lorsqu’un infostealer est détecté, révoquer les sessions en plus de changer les mots de passe, car un attaquant possède peut-être déjà un cookie ou un jeton valide .
L’intervention de l’ASD a coupé un criminel d’un immense bassin de victimes. Elle n’a pas rendu chaque ordinateur compromis sain, ni effacé chaque identifiant déjà volé. La meilleure lecture de l’affaire n’est donc pas que le problème est réglé. Elle est que la perturbation à l’échelle de l’infrastructure peut protéger des victimes rapidement — à condition que la reprise des terminaux et l’hygiène des identités suivent sans délai.
Commentaires
Sois le premier à commenter.