ESET har rapporteret, at russisk-linkede hackere brugte Yggdrasil-netværket til at skjule ondsindet aktivitet under et angreb på en ukrainsk kornvirksomhed. Fundet er en nyttig påmindelse om, at Yggdrasil network malware Russian hackers-kampagner ikke udelukkende er afhængige af eksotiske værktøjer. De kan også låne legitim privatlivs- og netværksteknologi for at smelte ind.
Kilderapporteringen er kortfattet, så dette indlæg holder sig til det, der er bekræftet, og forklarer den bredere kontekst omhyggeligt.
Hvad ESET fandt i angrebet på den ukrainske kornvirksomhed
Ifølge ESET brugte hackere med forbindelse til Rusland Yggdrasil-netværket til at skjule malware under et angreb på en ukrainsk kornvirksomhed. Separat dækning beskriver Yggdrasil som et frivilligt drevet netværk og angiver, at det blev brugt til at skjule kommunikation i et angreb på en ukrainsk kornlogistikvirksomhed.
Den tilgængelige rapportering giver ikke yderligere tekniske detaljer, såsom hvordan angriberne først fik adgang, hvilke malware-familier der var involveret, eller hvad den tilsigtede skade var. Vi vil ikke gætte på disse punkter. Det, der er klart, er mønsteret: angriberne valgte et krypteret overlay-netværk som skjulested for deres trafik.
Hvordan Yggdrasil hjalp angribere med at skjule deres trafik
Yggdrasil er et krypteret overlay-netværk. I enkle vendinger skaber det et netværk oven på det almindelige internet, hvor deltagere forbinder til hinanden gennem peers og får adresser inde i overlayet. Fordi det drives af frivillige og er decentraliseret, er der ingen enkelt virksomhed, der driver det, som nemt kan anmodes om at blokere eller logge aktivitet.
For en angriber er det attraktivt til command-and-control, kommunikationskanalen mellem malware på en offermaskine og dem, der kontrollerer det. Hvis inficerede systemer kommunikerer med controllere gennem et overlay-netværk, kan trafikken se anderledes ud end forbindelser til en kendt ondsindet server. Forsvarere, der er afhængige af blokeringslister over mistænkelige IP-adresser og domæner, kan have mindre at arbejde med, da destinationen ikke er en konventionel hostingudbyder.
Det betyder ikke, at netværket i sig selv er ondsindet. Det betyder, at et neutralt værktøj kan rettes mod et skadeligt mål.
Hvorfor anonymitetsværktøjer er dual-use, og hvad det betyder for VPN-brugere
Privatlivsteknologi fungerer ved at skjule, hvem der taler med hvem, og hvad de siger. Den fordel gælder lige så meget for en journalist, der beskytter en kilde, som for en angriber, der beskytter en server. Det samme gælder VPN'er, Tor og overlay-netværk som Yggdrasil.
Denne dual-use-virkelighed er vigtig, fordi den former politiske debatter. Regeringer, der ønsker at begrænse anonymitetsværktøjer, peger ofte på kriminel misbrug. Vi har set pres på privatlivsværktøjer andre steder, såsom presset i Rusland beskrevet i vores artikel om Ruslands VPN-skat og prisen for privatliv. ESET-fundet er en påmindelse om, at misbrug eksisterer, men det er ikke et argument for, at almindelige brugere skal opgive kryptering.
Hvad det betyder for dig
For almindelige brugere af VPN og privatlivsværktøjer signalerer denne rapport ikke nogen ny risiko for din egen forbindelse. Intet i kilden tyder på, at Yggdrasil-brugere eller VPN-kunder blev påvirket. De praktiske pointer handler mere om perspektiv:
- Privatlivsværktøjer er ikke truslen. Angrebet lykkedes, fordi kornvirksomheden blev kompromitteret, ikke fordi et krypteret netværk eksisterer.
- Forvent mere granskning. Netværksadministratorer kan begynde at markere eller blokere overlay-netværkstrafik på virksomhedsnetværk, så du kan opleve restriktioner på arbejdet eller i skolen.
- Dine egne enheder betyder stadig noget. Malware på din maskine kan bruge enhver kanal til at ringe hjem. At holde software opdateret og undgå ukendte vedhæftede filer beskytter dig, uanset hvilket netværk angriberen bruger.
Hvad forsvarere kan gøre ved misbrug af overlay-netværk
Organisationer, især dem inden for logistik, landbrug og andre forsyningskædesektorer, kan tage fornuftige skridt uden at forbyde privatlivsteknologi overalt:
- Ved, hvordan normalt ser ud. Lav en baseline for udgående trafik, så usædvanlige peer-to-peer- eller overlay-forbindelser skiller sig ud.
- Begræns som standard. Hvis en virksomhed ikke har nogen grund til at køre overlay-netværk på servere eller arbejdsstationer, kan egress-filtrering blokere dem.
- Overvåg endpoints, ikke kun perimeteren. Når netværkstrafik er svær at inspicere, kan endpoint-detektion stadig opdage mistænkelige processer.
- Patch hurtigt. Indledende adgang kommer ofte gennem softwarefejl, hvilket fører til næste punkt.
Russisk-linkede aktører har tendens til at kombinere skjult infrastruktur med udnyttede sårbarheder. Vores rapport om, hvordan russiske spioner brugte en Zimbra zero-day til at stjæle 2FA-koder, viser den anden halvdel af det håndværk. Insider- og personalerisici betyder også noget, som diskuteret i vores guide til screening af insider-trusler.
Vigtige pointer
Historien om Yggdrasil network malware Russian hackers-aktivitet, som rapporteret af ESET, handler mindre om et enkelt værktøj og mere om et mønster: angribere genbruger legitim privatlivsinfrastruktur til at skjule sig. Hold din software patchet, vær forsigtig med, hvad der kører på dine enheder, og forstå, at både privatlivsværktøjer og softwaresårbarheder kan udnyttes af statsligt linkede grupper. For at se, hvordan sårbarhedssiden udspiller sig, læs vores dækning af Zimbra zero-day, og hold dine forsvar lagdelte.
