De Amadey malware krijgt een flinke klap: volgens de Australische Signals Directorate (ASD) is de criminele operatie die de besmette systemen aanstuurt, op afstand gezet. Daardoor is de toegang tot circa 180.000 geïnfecteerde computers wereldwijd afgesneden, waaronder systemen in Australië.
Belangrijk is wel dat het uitschakelen van de controle niet automatisch betekent dat eerdere diefstal ongedaan is. Aanvallers kunnen bijvoorbeeld al gestolen gegevens, zoals inlog- of sessie-informatie, later nog inzetten.
Wat deed ASD met de Amadey malware?
ASD meldt dat haar operators toegang hebben verkregen tot de backend van de Amadey-infrastructuur. Vervolgens is de koppeling tussen de controller en de slachtoffers doorgeknipt. Tauri Gregory, waarnemend adjunct-directeur-generaal intelligence bij ASD, gaf aan dat de volgende stap bestond uit het disconnecten van de Amadey-controller van alle betrokken victims.
Omdat dit soort offensieve cyberoperaties expliciete toestemming vereist van de Australische overheid, is het niet verrassend dat ASD de details rond de aanpak beperkt houdt. Toch is de impact duidelijk: de commando- en controleflow richting besmette systemen is onderbroken.
Waarom is afkoppelen van C2 zo belangrijk?
Bij dit type malware werken besmette computers als “agents” die regelmatig contact leggen met een command-and-control (C2)-server. Zolang die server bereikbaar is, kunnen criminelen opdrachten sturen: van extra misbruik tot het ophalen en uitvoeren van payloads.
Door de controller uit te schakelen, kan de aanvaller doorgaans:
- minder direct nieuwe instructies uitrollen;
- infecties moeilijker verder “voeden” met extra malware;
- sneller detecteerbare controle verliezen waardoor het campagnebeheer afneemt.
In het geval van Amadey malware was de backend vooral gericht op het uitbreiden van compromissen. Dat maakt “disconnecting” een gerichte maatregel, maar niet per definitie een totale remedie voor eerder misbruik.
Amadey als dienst: een businessmodel voor criminelen
Volgens analyses van onder meer ESET werd Amadey rond 2018 verkocht als “service”. Anders gezegd: verschillende afnemers kunnen hun eigen controlepaneel draaien op eigen servers, terwijl dezelfde basissoftware wordt ingezet.
Dat betekent dat niet elke besmetting automatisch tot één enkel crimineel spoor leidt. In de tracking van ESET worden meerdere botnets gezien die niet dezelfde infrastructuur delen: in totaal werden 53 afzonderlijke Amadey-botnetwerken geïdentificeerd.
Voor verdedigers is dat relevant omdat mitigatiemaatregelen daardoor vaak breder moeten kijken dan één enkele C2-domeinnaam of IP-reeks.
Wat deed Amadey malware met besmette systemen?
De belangrijkste taak van de Amadey malware is het installeren van extra malware. Een voorbeeld dat in de bron wordt genoemd is de StealC infostealer. Daarnaast kan Amadey ook:
- credentials stelen;
- op afstand toegang verschaffen tot het getroffen apparaat;
- informatie verzamelen die later kan worden gebruikt voor nieuwe aanvallen.
De bron noemt ook bekende manieren waarop Amadey slachtoffers bereikte, zoals nep-software-updates, gecrackte installers en andere loader-achtige technieken.
Uitschakelen stopt niet automatisch alle schade
Zelfs als de controller wordt afgekoppeld, verdwijnt de reeds verzamelde buit niet. Stolen gegevens kunnen tijd “opsparen” en pas later worden gebruikt.
Volgens Microsoft-analyses kunnen gestolen credentials bijvoorbeeld maanden blijven liggen voordat aanvallers ze opnieuw inzetten. Daarnaast kan een gestolen sessie-cookie in sommige scenario’s helpen om de bescherming van multi-factor authenticatie (MFA) te omzeilen.
Met andere woorden: na een verstoring van de C2-laag blijft het nodig om incidentrespons te richten op eventuele datadiefstal, gecompromitteerde accounts en sporen van extra payloads.
Wat zegt ASD over de bredere operatie?
ASD beschrijft in dit nieuwsbericht niet de verdere details uit haar jaarlijkse cyberdreigingsrapport. Wel is duidelijk dat de verstoring onderdeel is van bredere inzet. Volgens de bron zouden offensieve cyberactiviteiten ook gericht kunnen zijn op het neutraliseren van criminele infrastructuur buiten Australië.
Operation Endgame: eerdere verstoring in juni
Deze actie staat niet op zichzelf. In juni zou de infrastructuur rond Amadey ook zijn beïnvloed door Operation Endgame, een internationale rechtshandhavingsoperatie met ondersteuning van private partners.
Die actie richtte zich in de periode 15 tot en met 19 juni op servers die gekoppeld waren aan onder meer Amadey, StealC en SocGholish. Uit berichten van Europol blijkt dat negen landen gezamenlijk betrokken waren bij die internationale aanpak.
Hoewel Australië niet op een expliciete lijst stond in de Europol-communicatie van de “action week”, noemt de bron dat ASD in dit kader wel niet nader werd vermeld. Het onderliggende punt blijft: meerdere interventies op verschillende momenten kunnen de beschikbaarheid van criminele infrastructuur aantasten.
Los daarvan: ook datahandel en vernietiging
Naast de Amadey-gerelateerde verstoring noemt ASD in de bron ook een aparte casus. Daarbij zou ASD een tip hebben ontvangen dat 5 terabytes aan gestolen data van een bedrijf te koop werden aangeboden.
Het bedrijf was zich volgens ASD niet bewust van de hack. ASD zou vervolgens hebben ingebroken en de data vernietigd voordat verkoop kon plaatsvinden. De vernietigde bestanden zouden onder meer documenten voor bedrijfsinformatie, persoonsgegevens en login-credentials en wachtwoorden hebben bevat.
Dat scenario laat zien dat cybermaatregelen niet alleen draaien om het uitschakelen van malware, maar ook om het voorkomen dat gestolen data daadwerkelijk monetariseert.
Wat betekent dit voor organisaties en blue teams?
Als er Amadey malware-achtige activiteiten in het spel zijn (bijvoorbeeld door criminele loaders of infostealers), is de les vooral: behandel het incident als meerfasig. Afkoppelen van C2 kan de actieve commandostructuur onderbreken, maar defenders moeten uitgaan van resterende gevolgen.
Praktische aandachtspunten:
- Check op extra payloads: Amadey kan aanvullende malware installeren; detecteer en verwijder ook die componenten.
- Voer account- en toegangs-hygiëne uit: reset wachtwoorden waar nodig en beoordeel sessies en tokens.
- Besteed aandacht aan sessie-gerelateerde risico’s: gestolen cookies kunnen beschermingslagen omzeilen als ze nog geldig zijn.
- Verbeter detections rond verdachte downloads: nep-updates en gecrackte installers worden in de bron genoemd als veelvoorkomende instaproute.
Wil je breder lezen over de risico’s van infostealers en de impact op credentials en toegang? Dan is het interessant om ook de context rond “token” misbruik en accountcompromittering te bekijken, zoals in Microsoft 365 token replay-aanvallen.
En voor organisaties die kijken naar agentische aanvallen en hoe aanvallers systemen opereren op afstand, kan AI-agents in ransomwareketens helpen om te begrijpen hoe controle en automatisering in aanvallen verweven raken.
Conclusie
De verstoring van de Amadey malware-backend in Australië is een duidelijke stap: ASD zegt dat de controller is losgekoppeld van ongeveer 180.000 besmette computers. Daarmee is de directe command-and-control voor slachtoffers onderbroken en wordt de aanvaller geremd in het uitbreiden van infecties.
Maar de bron benadrukt ook terecht dat eerdere diefstal niet vanzelf teruggedraaid wordt. Voor organisaties blijft daarom de belangrijkste focus liggen op incidentrespons, het opschonen van systemen en het beperken van impact door gestolen credentials en mogelijk misbruik van sessie-informatie.
Bron: https://thehackernews.com/2026/10/australia-gets-into-amadey-malware.html
