Microsoft y aliados derriban la infraestructura de Amadey y StealC

Una coalición formada por Microsoft, varias agencias de aplicación de la ley y un grupo de empresas especializadas en ciberseguridad ha ejecutado una operación de envergadura contra la infraestructura que sostenía dos familias de malware ampliamente utilizadas: Amadey y StealC. El resultado ha sido la neutralización de cientos de servidores de mando y control (C2) repartidos por distintas ubicaciones.

Qué son Amadey y StealC

Amadey es un cargador de malware (loader) que lleva años circulando como servicio en foros clandestinos. Su función principal es afianzar el acceso inicial en sistemas comprometidos y descargar cargas útiles adicionales —ransomware, infostealers o herramientas de acceso remoto— según las instrucciones del operador que lo contrate.

StealC, por su parte, es un infostealer relativamente reciente pero muy activo, diseñado para exfiltrar credenciales almacenadas en navegadores, carteras de criptomonedas, clientes de correo y aplicaciones de mensajería. Ambas familias comparten un modelo de negocio basado en el esquema malware-as-a-service (MaaS), lo que explica que su infraestructura fuese común y que múltiples grupos criminales la utilizasen simultáneamente.

La operación y su alcance

Lo más destacable de esta acción no es únicamente el número de servidores desactivados, sino el carácter coordinado del esfuerzo. Combinar la capacidad técnica y legal de Microsoft —a través de su unidad de delitos digitales (DCU)— con la autoridad coercitiva de cuerpos policiales internacionales y el conocimiento operativo de empresas de ciberseguridad es un modelo que ha demostrado ser efectivo contra infraestructuras distribuidas y resilientes.

Al tratarse de una infraestructura compartida entre distintos afiliados, su caída priva de servicio a todos los actores que dependían de esos servidores C2 al mismo tiempo, multiplicando el impacto de la intervención frente a operaciones dirigidas contra un único grupo.

Implicaciones para los equipos de seguridad

Aunque el desmantelamiento de servidores C2 interrumpe las comunicaciones activas, los equipos de seguridad deben tener en cuenta que:

  • Las muestras de malware ya desplegadas en sistemas infectados pueden intentar reconectarse a nuevos servidores o quedar en estado latente.
  • Los actores detrás de Amadey y StealC tienen incentivos para reconstruir infraestructura alternativa en el corto plazo, algo habitual tras este tipo de operaciones.
  • Las credenciales y datos ya exfiltrados antes de la operación permanecen en manos de los atacantes.

Por ello, es recomendable realizar una búsqueda retrospectiva de indicadores de compromiso asociados a ambas familias en registros históricos de red y endpoints.

¿Estás cubierto en DefensOps?

Aunque esta operación no tiene un CVE asociado, las familias Amadey y StealC generan patrones de comportamiento detectables mediante correlación de eventos: conexiones a servidores C2 conocidos, exfiltración de datos, ejecución de loaders y descarga de cargas útiles secundarias.

El motor de correlación de DefensOps (plan Essential) aplica cobertura genérica sobre este tipo de actividad, cruzando eventos de red, endpoint y autenticación para identificar comportamientos anómalos consistentes con infostealers y loaders, incluso cuando los indicadores específicos aún no están catalogados.

¿Quieres saber si tu entorno tiene exposición residual a estas familias de malware?

👉 Consulta los planes de DefensOps o solicita una demo y comprueba cómo nuestro motor de correlación puede detectar actividad similar antes de que se convierta en un incidente.

Fuente: SecurityWeek – Microsoft and Allies Smash Shared Infrastructure of Amadey and StealC Malware