ESET съобщи, че свързани с Русия хакери са използвали мрежата Yggdrasil, за да прикрият злонамерена дейност по време на атака срещу украинска зърнена компания. Констатацията е полезно напомняне, че кампаниите със зловреден софтуер в мрежата Yggdrasil от руски хакери не разчитат само на екзотични инструменти. Те могат също да заимстват легитимни технологии за поверителност и мрежова свързаност, за да се слеят с обстановката.
Публикацията на източника е кратка, затова тази статия се придържа към потвърденото и обяснява по-широкия контекст внимателно.
Какво откри ESET при атаката срещу украинската зърнена компания
Според ESET хакери, свързани с Русия, са използвали мрежата Yggdrasil, за да скрият зловреден софтуер по време на атака срещу украинска зърнена компания. Отделни публикации описват Yggdrasil като мрежа, управлявана от доброволци, и посочват, че тя е била използвана за прикриване на комуникации при атака срещу украински бизнес в зърнената логистика.
Наличните публикации не предоставят допълнителни технически подробности, като например как нападателите са получили първоначален достъп, кои семейства зловреден софтуер са били замесени или каква е била целената вреда. Няма да гадаем по тези точки. Ясно е обаче моделът: нападателите са избрали криптирана овърлей мрежа като скривалище за своя трафик.
Как Yggdrasil помогна на нападателите да скрият трафика си
Yggdrasil е криптирана овърлей мрежа. С прости думи, тя създава мрежа върху обикновения интернет, където участниците се свързват помежду си чрез партньори и получават адреси в тази овърлей среда. Тъй като се управлява от доброволци и е децентрализирана, няма единна компания, която я оперира и към която лесно да се обърнеш с искане да блокира или регистрира дейност.
За нападателя това е привлекателно за командно-контролни канали — комуникационния канал между зловредния софтуер на заразена машина и хората, които го контролират. Ако заразените системи комуникират с контролерите чрез овърлей мрежа, трафикът може да изглежда различно от връзки към известен злонамерен сървър. Защитниците, които разчитат на блоклистове със съмнителни IP адреси и домейни, може да разполагат с по-малко данни, тъй като дестинацията не е конвенционален хостинг доставчик.
Това не означава, че самата мрежа е злонамерена. Означава, че един неутрален инструмент може да бъде насочен към вредна цел.
Защо инструментите за анонимност са с двойно предназначение и какво означава това за потребителите на VPN
Технологията за поверителност работи, като скрива кой с кого разговаря и какво казва. Тази полза се отнася еднакво както за журналист, защитаващ източник, така и за нападател, защитаващ сървър. Същото важи за VPN, Tor и овърлей мрежи като Yggdrasil.
Тази реалност на двойно предназначение е важна, защото оформя политическите дебати. Правителствата, които искат да ограничат инструментите за анонимност, често посочват престъпната злоупотреба. Виждали сме натиск върху инструментите за поверителност и другаде, като например натиска в Русия, описан в нашия анализ на руския данък върху VPN и цената на поверителността. Констатацията на ESET е напомняне, че злоупотреба съществува, но това не е аргумент обикновените потребители да се откажат от криптирането.
Какво означава това за вас
За ежедневните потребители на VPN и инструменти за поверителност този доклад не сигнализира за нов риск за собствената ви връзка. Нищо в източника не подсказва, че потребители на Yggdrasil или клиенти на VPN са били засегнати. Практическите изводи са по-скоро за перспектива:
- Инструментите за поверителност не са заплахата. Атаката е успяла, защото зърнената компания е била компрометирана, а не защото съществува криптирана мрежа.
- Очаквайте повече проверки. Мрежовите администратори може да започнат да маркират или блокират трафик от овърлей мрежи в корпоративните мрежи, така че може да видите ограничения на работа или в училище.
- Собствените ви устройства все още са важни. Зловреден софтуер на вашата машина може да използва всеки канал, за да се свърже с контролерите си. Поддържането на софтуера актуален и избягването на непознати прикачени файлове ви защитава независимо от това коя мрежа използва нападателят.
Какво могат да направят защитниците срещу злоупотреба с овърлей мрежи
Организациите, особено тези в логистиката, селското стопанство и други сектори от веригата за доставки, могат да предприемат разумни стъпки, без да забраняват технологиите за поверителност навсякъде:
- Знайте как изглежда нормалното. Направете базова линия на изходящия трафик, така че необичайните peer-to-peer или овърлей връзки да се открояват.
- Ограничавайте по подразбиране. Ако бизнесът няма причина да използва овърлей мрежи на сървъри или работни станции, филтрирането на изходящия трафик може да ги блокира.
- Наблюдавайте крайните точки, не само периметъра. Когато мрежовият трафик е труден за инспекция, откриването на крайни точки все още може да засече подозрителни процеси.
- Прилагайте пачове бързо. Първоначалният достъп често идва чрез софтуерни уязвимости, което води до следващата точка.
Свързаните с Русия участници обикновено съчетават скрита инфраструктура с експлоатирани уязвимости. Нашият доклад за това как руски шпиони са използвали zero-day в Zimbra, за да откраднат 2FA кодове, показва другата половина на тази тактика. Рисковете, свързани с вътрешни лица и персонал, също са важни, както е обсъдено в нашето ръководство за проверка на вътрешни заплахи.
Ключови изводи
Историята за активността със зловреден софтуер в мрежата Yggdrasil от руски хакери, както е докладвана от ESET, е по-малко за един конкретен инструмент и повече за един модел: нападателите преизползват легитимна инфраструктура за поверителност, за да се скрият. Поддържайте софтуера си актуален, бъдете внимателни какво се изпълнява на устройствата ви и разбирайте, че както инструментите за поверителност, така и софтуерните уязвимости могат да бъдат експлоатирани от свързани с държава групи. За да видите как се развива страната на уязвимостите, прочетете нашето отразяване на zero-day в Zimbra и поддържайте защитите си на няколко нива.
