„Die nächsten Schritte, die wir unternommen haben, bestanden darin, diesen Amadey-Controller von all diesen Opfern zu trennen", sagte Tauri Gregory, kommissarische stellvertretende Generaldirektorin für Nachrichtengewinnung der ASD, in einem am 27. Oktober veröffentlichten Interview mit ABC News.

Die ASD ist Australiens Auslandsnachrichtendienst für Fernmeldeaufklärung und zugleich Cybersicherheitsbehörde. Ihre offensiven Cyberoperationen bedürfen einer ausdrücklichen Genehmigung der australischen Regierung; sie dürfen Cyberkriminelle im Ausland stören, indem sie deren Infrastruktur unbrauchbar machen.

Amadey wird nach der Analyse von ESET seit 2018 als Dienstleistung an Kriminelle verkauft. Jeder Käufer betreibt dabei ein eigenes Steuerungspanel auf eigenen Servern. Infizierte Rechner melden sich beim Command-and-Control-Server des jeweiligen Käufers und führen dessen Befehle aus. Hauptaufgabe von Amadey ist das Nachladen weiterer Schadsoftware, etwa des Infostealers StealC. Darüber hinaus kann die Malware Zugangsdaten stehlen und dem Käufer Fernzugriff auf die Maschine verschaffen. Am häufigsten gelangte Amadey über gefälschte Software-Updates, Installer für geknackte Software und andere Malware-Loader auf die Systeme.

Die betroffene Operation war nur eine von vielen: ESET identifizierte bei seiner Beobachtung 53 voneinander getrennte Amadey-Botnetze ohne gemeinsame Infrastruktur.

Das Trennen eines Controllers von seinen Opfern macht früheren Datendiebstahl nicht rückgängig. Nach der Analyse von Microsoft können von Infostealern erbeutete Zugangsdaten monatelang ungenutzt bleiben, bevor Angreifer sie verwenden. Ein gestohlenes Sitzungscookie kann es einem Angreifer ermöglichen, die Mehr-Faktor-Authentifizierung (MFA) zu umgehen.

Der ebenfalls am 27. Oktober veröffentlichte jährliche Cyber-Bedrohungsbericht der ASD beschreibt die Operation nicht.

Bereits im Juni war die Amadey-Infrastruktur im Rahmen der internationalen Strafverfolgungsaktion Operation Endgame gestört worden, die mit privaten Partnern zusammenarbeitet. Zwischen dem 15. und 19. Juni richtete sich die Aktion gegen Server, die mit Amadey, StealC und der Schadsoftware SocGholish in Verbindung stehen. Australien zählt laut der Mitteilung von Europol aus dem Juni zu den neun Staaten, deren Strafverfolgungs- und Justizbehörden Operation Endgame gemeinsam betreiben. Auf Europols Liste der Länder, die an der Aktionswoche im Juni teilnahmen, stand Australien nicht; die ASD wird in der Mitteilung nicht erwähnt.

In einem separaten Fall erhielt die ASD nach eigenen Angaben einen Hinweis, dass fünf Terabyte Daten, die bei einem Unternehmen gestohlen worden waren, zum Verkauf standen. Das Unternehmen wusste nichts von dem Einbruch. Die Daten umfassten Geschäftsunterlagen, personenbezogene Daten sowie Zugangsdaten und Passwörter. Die Behörde drang in die Systeme ein und vernichtete die Daten, bevor sie verkauft werden konnten. Darunter waren schätzungsweise 4,8 Millionen Datensätze von Australierinnen und Australiern sowie Hunderttausende von Opfern in anderen Ländern.