Eset совместно с Microsoft и правоохранительными структурами, включая ФБР, Интерпол и Европол, обезвредила сеть ботнетов Gamarue (Andromeda), действовавшую с 2011 года.

Операция стартовала 29 ноября 2017 года. В рамках проекта ликвидации была обезврежена сеть из 464 отдельных ботнетов, заражавшая более 1,1 млн компьютеров ежемесячно. Нейтрализована инфраструктура ботнета – 1214 доменов и IP-адресов, которые использовались операторами в качестве серверов управления и контроля (С&С).

Eset взяла на себя технические аспекты подготовки операции. Совместно с Microsoft компания выполнила анализ угрозы, предоставила статистические данные и информацию об инфраструктуре Gamarue. Кроме того, Eset поделилась результатами многолетних наблюдений за ботнетом и вредоносными программами, которые распространялись с его помощью. 

Семейство вредоносных программ Gamarue (Wauchos, согласно классификации Eset) создано в сентябре 2011 года и продавалось в дарквебе под названием Andromeda bot. Бот пользовался спросом, поэтому на момент ликвидации в мире действовали сотни независимых ботнетов. Операторы Gamarue использовали для его распространения разные способы: социальные сети, мессенджеры, съемные носители, спам-рассылки, наборы эксплойтов. 

Семейство Gamarue предназначено для кражи учетных данных, загрузки и выполнения в зараженных системах других вредоносных программ. Но операторы могут дорабатывать бот, внедряя дополнительные модули. Так, один из модулей позволяет атакующим перехватывать данные, вводимые пользователями в веб-формы (формграббер), другой – подключаться к скомпрометированной системе и удаленно управлять ей. 

В рамках подготовки к ликвидации Gamarue специалисты Eset собирали информацию о ботнетах с помощью телеметрического сервиса Eset Threat Intelligence. Им удалось создать бот, который устанавливал соединение с управляющими серверами атакующих. С его помощью специалисты Eset и Microsoft следили за Gamarue на протяжении полутора лет, идентифицировали серверы и другие вредоносные программы, загружаемые в системы жертв. По итогам этой работы Eset и Microsoft составили список всех доменов, используемых операторами Gamarue в качестве управляющих серверов. 

В прошлом Wauchos лидировал по числу атак, отраженных продуктами Eset, поэтому, когда Microsoft предложили принять участие в операции и защитить пользователей, решение было очевидным. Угроза существовала и совершенствовалась на протяжении нескольких лет, что затрудняло мониторинг. Тем не менее, благодаря Eset Threat Intelligence, удалось отслеживать изменения в поведении малвари и внести свой вклад в операцию по ликвидации ботнета». 

Eset рекомендует пользователям, опасающимся заражения, использовать бесплатный инструмент Eset Online Scanner, который удалит все обнаруженные угрозы, включая Gamarue.