ESET uvedl, že hackeři napojení na Rusko použili síť Yggdrasil k ukrytí škodlivé aktivity během útoku na ukrajinskou obilnou společnost. Toto zjištění je užitečnou připomínkou, že kampaně **malware ruských hackerů v síti Yggdrasil** se nespoléhají pouze na exotické nástroje. Mohou si také vypůjčit legitimní technologie pro soukromí a síťování, aby splynuly s okolím. Zdrojové zpravodajství je stručné, proto se tento příspěvek drží toho, co bylo potvrzeno, a pečlivě vysvětluje širší souvislosti. ## Co ESET zjistil při útoku na ukrajinskou obilnou společnost Podle ESET použili hackeři napojení na Rusko síť Yggdrasil k ukrytí malwaru během útoku na ukrajinskou obilnou společnost. Jiné zpravodajství popisuje Yggdrasil jako síť provozovanou dobrovolníky a uvádí, že byla použita k utajení komunikace při útoku na ukrajinskou firmu zabývající se obilnou logistikou. Dostupné zpravodajství neposkytuje další technické podrobnosti, jako je způsob, jakým útočníci nejprve získali přístup, které rodiny malwaru byly zapojeny nebo jaká byla zamýšlená škoda. V těchto bodech nebudeme spekulovat. Jasný je však vzorec: útočníci si jako úkryt pro svůj provoz vybrali šifrovanou překryvnou síť. ## Jak Yggdrasil pomohl útočníkům skrýt jejich provoz Yggdrasil je šifrovaná překryvná síť. Jednoduše řečeno vytváří síť nad běžným internetem, kde se účastníci propojují přes peers a získávají adresy uvnitř tohoto překryvu. Protože je provozována dobrovolníky a je decentralizovaná, neexistuje jediná společnost, která by ji provozovala a které by bylo možné snadno nařídit blokování nebo zaznamenávání aktivity. Pro útočníka je to atraktivní pro command-and-control, komunikační kanál mezi malwarem na napadeném stroji a lidmi, kteří jej ovládají. Pokud infikované systémy komunikují s ovládajícími servery přes překryvnou síť, může provoz vypadat jinak než připojení ke známému škodlivému serveru. Obránci, kteří se spoléhají na blocklisty podezřelých IP adres a domén, mohou mít méně možností, protože cíl není konvenční hostingový poskytovatel. To neznamená, že samotná síť je škodlivá. Znamená to, že neutrální nástroj lze namířit k škodlivému cíli. ## Proč jsou nástroje anonymity dvojího užití a co to znamená pro uživatele VPN Technologie pro soukromí funguje tak, že skrývá, kdo s kým mluví a co říká. Tento přínos platí stejně pro novináře chránícího zdroj i pro útočníka chránícího server. Totéž platí pro VPN, Tor a překryvné sítě jako Yggdrasil. Tato realita dvojího užití je důležitá, protože formuje politické debaty. Vlády, které chtějí omezit nástroje anonymity, často poukazují na zneužití kriminalitou. Tlak na nástroje soukromí jsme viděli i jinde, například v Rusku popsaném v našem článku [Ruská daň z VPN a cena soukromí](/en/russia-s-vpn-tax-making-privacy-more-expensive). Zjištění ESET je připomínkou, že zneužití existuje, ale není argumentem, aby se běžní uživatelé vzdali šifrování. ## Co to znamená pro vás Pro každodenní uživatele VPN a nástrojů pro soukromí tato zpráva neznamená žádné nové riziko pro vaše vlastní připojení. Nic ve zdroji nenaznačuje, že by byli postiženi uživatelé Yggdrasil nebo zákazníci VPN. Praktické závěry se týkají spíše perspektivy: - **Nástroje pro soukromí nejsou hrozbou.** Útok uspěl proto, že byla kompromitována obilná společnost, nikoli proto, že existuje šifrovaná síť. - **Očekávejte větší kontrolu.** Správci sítí mohou začít označovat nebo blokovat provoz překryvných sítí v podnikových sítích, takže se můžete setkat s omezeními v práci nebo ve škole. - **Vaše vlastní zařízení jsou stále důležitá.** Malware na vašem stroji může použít jakýkoli kanál ke komunikaci s domovským serverem. Udržování softwaru aktualizovaného a vyhýbání se neznámým přílohám vás chrání bez ohledu na to, kterou síť útočník používá. ## Co mohou obránci dělat proti zneužívání překryvných sítí Organizace, zejména v logistice, zemědělství a dalších odvětvích dodavatelského řetězce, mohou podniknout rozumné kroky, aniž by všude zakazovaly technologie pro soukromí: 1. **Vězte, jak vypadá normál.** Zaznamenejte výchozí provoz, aby neobvyklá peer-to-peer nebo překryvná připojení vyčnívala. 2. **Omezte ve výchozím nastavení.** Pokud firma nemá důvod provozovat překryvné sítě na serverech nebo pracovních stanicích, filtrování odchozího provozu je může zablokovat. 3. **Sledujte koncové body, nejen perimetr.** Když je obtížné síťový provoz zkontrolovat, detekce na koncových bodech může stále odhalit podezřelé procesy. 4. **Záplatujte rychle.** Počáteční přístup často přichází přes zranitelnosti softwaru, což vede k dalšímu bodu. Aktéři napojení na Rusko mají tendenci kombinovat skrytou infrastrukturu se zneužitými zranitelnostmi. Náš článek o tom, jak [ruští špioni použili zero-day ve Zimbra k krádeži 2FA kódů](/en/russian-spies-used-zimbra-zero-day-to-steal-2fa-codes), ukazuje druhou polovinu této tradecraft. Rizika zasvěcenců a personálu jsou také důležitá, jak je popsáno v našem [průvodci prověřováním hrozeb od zasvěcenců](/en/ransomware-negotiator-arrest-insider-threat-vetting-guide). ## Klíčové poznatky Příběh aktivity **malware ruských hackerů v síti Yggdrasil**, jak jej uvedl ESET, není ani tak o jediném nástroji, jako spíše o vzorci: útočníci znovu používají legitimní infrastrukturu pro soukromí k ukrytí. Udržujte software záplatovaný, buďte opatrní ohledně toho, co běží na vašich zařízeních, a pochopte, že nástroje pro soukromí i zranitelnosti softwaru mohou být zneužity skupinami napojenými na stát. Chcete-li vidět, jak se odehrává stránka zranitelností, přečtěte si naše zpravodajství o [zero-day ve Zimbra](/en/russian-spies-used-zimbra-zero-day-to-steal-2fa-codes) a udržujte svou obranu ve vrstvách.