أفادت ESET بأن قراصنة على صلة بروسيا استخدموا شبكة Yggdrasil لإخفاء نشاط خبيث أثناء هجوم على شركة أوكرانية للحبوب. ويكشف هذا الاكتشاف تذكيرًا مفيدًا بأن حملات برمجيات Yggdrasil الخبيثة والقراصنة الروس لا تعتمد على أدوات غريبة فحسب. بل يمكنها أيضًا الاستعانة بتقنيات شرعية للخصوصية والشبكات كي تندمج في المشهد.
التقرير المصدر موجز، لذا يلتزم هذا المقال بما تم تأكيده ويشرح السياق الأوسع بحذر.
ما اكتشفته ESET في الهجوم على شركة الحبوب الأوكرانية
وفقًا لـ ESET، استخدم قراصنة على صلة بروسيا شبكة Yggdrasil لإخفاء برمجيات خبيثة أثناء هجوم على شركة أوكرانية للحبوب. وتصف تغطية منفصلة شبكة Yggdrasil بأنها شبكة يديرها متطوعون، وتقول إنها استُخدمت لإخفاء الاتصالات في هجوم على شركة أوكرانية لوجستية للحبوب.
لا تقدم التقارير المتاحة تفاصيل تقنية إضافية، مثل كيفية حصول المهاجمين على الوصول أولًا، أو عائلات البرمجيات الخبيثة المعنية، أو الضرر المقصود. ولن نخمن في هذه النقاط. ما هو واضح هو النمط: اختار المهاجمون شبكة تراكب مشفرة لتكون مخبأً لحركتهم.
كيف ساعدت Yggdrasil المهاجمين على إخفاء حركتهم
Yggdrasil هي شبكة تراكب مشفرة. وببساطة، تنشئ شبكة فوق الإنترنت العادي، حيث يتصل المشاركون ببعضهم البعض عبر أقران ويحصلون على عناوين داخل ذلك التراكب. ولأنها يديرها متطوعون ولامركزية، فلا توجد شركة واحدة تديرها يمكن أن يُطلب منها بسهولة حظر النشاط أو تسجيله.
بالنسبة للمهاجم، هذا أمر جذاب للقيادة والتحكم، أي قناة الاتصال بين البرمجيات الخبيثة على جهاز الضحية والأشخاص الذين يتحكمون بها. وإذا تحدثت الأنظمة المصابة مع المتحكمين عبر شبكة تراكب، فقد تبدو الحركة مختلفة عن الاتصالات بخادم خبيث معروف. وقد يجد المدافعون الذين يعتمدون على قوائم حظر لعناوين IP والنطاقات المشبوهة مواد أقل للعمل بها، لأن الوجهة ليست مزود استضافة تقليديًا.
هذا لا يعني أن الشبكة نفسها خبيثة. بل يعني أن أداة محايدة يمكن توجيهها نحو هدف ضار.
لماذا أدوات إخفاء الهوية ذات استخدام مزدوج، وماذا يعني ذلك لمستخدمي VPN
تعمل تقنية الخصوصية عبر إخفاء من يتحدث إلى من وماذا يقولون. وتنطبق هذه الفائدة بالقدر نفسه على صحفي يحمي مصدرًا وعلى مهاجم يحمي خادمًا. وينطبق الأمر ذاته على شبكات VPN وTor وشبكات التراكب مثل Yggdrasil.
وواقع الاستخدام المزدوج هذا مهم لأنه يشكل نقاشات السياسات. فالحكومات التي تسعى إلى تقييد أدوات إخفاء الهوية كثيرًا ما تشير إلى سوء الاستخدام الإجرامي. وقد رأينا ضغوطًا على أدوات الخصوصية في أماكن أخرى، مثل الحملة في روسيا التي وصفناها في مقالتنا عن ضريبة VPN في روسيا وتكلفة الخصوصية. واكتشاف ESET تذكير بأن سوء الاستخدام موجود، لكنه ليس حجة كي يتخلى المستخدمون العاديون عن التشفير.
ماذا يعني هذا لك
بالنسبة للمستخدمين اليوميين لـ VPN وأدوات الخصوصية، لا يشير هذا التقرير إلى أي خطر جديد على اتصالك أنت. ولا شيء في المصدر يوحي بأن مستخدمي Yggdrasil أو عملاء VPN قد تأثروا. والاستنتاجات العملية تتعلق أكثر بالمنظور:
- أدوات الخصوصية ليست هي التهديد. نجح الهجوم لأن شركة الحبوب قد اختُرقت، لا لأن شبكة مشفرة موجودة.
- توقّع مزيدًا من التدقيق. قد يبدأ مسؤولو الشبكات في وضع علامات على حركة شبكات التراكب أو حظرها على الشبكات المؤسسية، لذا قد ترى قيودًا في العمل أو المدرسة.
- أجهزتك نفسها ما تزال مهمة. يمكن للبرمجيات الخبيثة على جهازك استخدام أي قناة للاتصال بالمنزل. والحفاظ على تحديث البرامج وتجنب المرفقات المجهولة يحميك بصرف النظر عن الشبكة التي يستخدمها المهاجم.
ما يمكن للمدافعين فعله بشأن إساءة استخدام شبكات التراكب
يمكن للمؤسسات، خصوصًا في قطاعات اللوجستيات والزراعة وغيرها من قطاعات سلسلة التوريد، اتخاذ خطوات معقولة دون حظر تقنية الخصوصية في كل مكان:
- اعرف كيف يبدو الوضع الطبيعي. ضع خط أساس لحركة الصادر حتى تبرز اتصالات الأقران أو التراكب غير العادية.
- قيّد افتراضيًا. إذا لم يكن لدى العمل أي سبب لتشغيل شبكات التراكب على الخوادم أو محطات العمل، فيمكن لتصفية الصادر حظرها.
- راقب نقاط النهاية، لا المحيط فقط. عندما يصعب فحص حركة الشبكة، يمكن لكشف نقاط النهاية أن يلتقط العمليات المشبوهة.
- صحّح بسرعة. غالبًا ما يأتي الوصول الأولي عبر عيوب في البرامج، وهذا يقود إلى النقطة التالية.
يميل الفاعلون المرتبطون بروسيا إلى الجمع بين بنية تحتية مخفية وثغرات مستغلة. ويُظهر تقريرنا عن كيفية استخدام الجواسيس الروس ثغرة يوم الصفر في Zimbra لسرقة رموز المصادقة الثنائية النصف الآخر من هذه الحرفة. كما تهم مخاطر المطلعين والأفراد، كما نوقش في دليل فحص تهديدات المطلعين.
النقاط الرئيسية
قصة نشاط برمجيات Yggdrasil الخبيثة والقراصنة الروس، كما أفادت ESET، تتعلق بأداة واحدة أقل مما تتعلق بنمط: يعيد المهاجمون استخدام بنية تحتية شرعية للخصوصية كي يخفوا. أبقِ برامجك محدثة، وكن حذرًا بشأن ما يعمل على أجهزتك، وافهم أن أدوات الخصوصية وثغرات البرامج يمكن أن تستغلها جماعات مرتبطة بالدولة. ولمعرفة كيف يظهر جانب الثغرات، اقرأ تغطيتنا لـثغرة يوم الصفر في Zimbra وأبقِ دفاعاتك متعددة الطبقات.
