ESET hat berichtet, dass mit Russland verbundene Hacker das Yggdrasil-Netzwerk genutzt haben, um bei einem Angriff auf ein ukrainisches Getreideunternehmen bösartige Aktivitäten zu verschleiern. Der Fund ist eine nützliche Erinnerung daran, dass Yggdrasil network malware Russian hackers-Kampagnen nicht allein auf exotische Tools setzen. Sie können auch legitime Datenschutz- und Netzwerktechnologie nutzen, um sich einzugliedern.

Die Quellberichterstattung ist knapp, daher beschränkt sich dieser Beitrag auf das, was bestätigt wurde, und erläutert den weiteren Kontext sorgfältig.

Was ESET beim Angriff auf das ukrainische Getreideunternehmen fand

Laut ESET nutzten mit Russland verbundene Hacker das Yggdrasil-Netzwerk, um während eines Angriffs auf ein ukrainisches Getreideunternehmen Malware zu verbergen. Eine separate Berichterstattung beschreibt Yggdrasil als ein von Freiwilligen betriebenes Netzwerk und gibt an, dass es genutzt wurde, um die Kommunikation bei einem Angriff auf ein ukrainisches Getreidelogistikunternehmen zu verschleiern.

Die verfügbare Berichterstattung liefert keine weiteren technischen Details, etwa wie die Angreifer zunächst Zugang erlangten, welche Malware-Familien beteiligt waren oder welcher Schaden beabsichtigt war. Wir werden an diesen Punkten nicht spekulieren. Klar ist das Muster: Die Angreifer wählten ein verschlüsseltes Overlay-Netzwerk als Versteck für ihren Datenverkehr.

Wie Yggdrasil den Angreifern half, ihren Datenverkehr zu verbergen

Yggdrasil ist ein verschlüsseltes Overlay-Netzwerk. Einfach ausgedrückt schafft es ein Netzwerk auf dem regulären Internet, in dem Teilnehmer sich über Peers miteinander verbinden und Adressen innerhalb dieses Overlays erhalten. Da es von Freiwilligen betrieben und dezentralisiert ist, gibt es kein einzelnes Unternehmen, das es betreibt und das einfach gebeten werden könnte, Aktivitäten zu blockieren oder zu protokollieren.

Für einen Angreifer ist das attraktiv für Command-and-Control, den Kommunikationskanal zwischen Malware auf einem kompromittierten Rechner und den Personen, die sie steuern. Wenn infizierte Systeme über ein Overlay-Netzwerk mit Kontrollservern kommunizieren, kann der Datenverkehr anders aussehen als Verbindungen zu einem bekannten bösartigen Server. Verteidiger, die sich auf Blocklisten verdächtiger IP-Adressen und Domains verlassen, haben möglicherweise weniger Anhaltspunkte, da das Ziel kein herkömmlicher Hosting-Anbieter ist.

Das bedeutet nicht, dass das Netzwerk selbst bösartig ist. Es bedeutet, dass ein neutrales Werkzeug auf ein schädliches Ziel gerichtet werden kann.

Warum Anonymitätstools Dual-Use sind und was das für VPN-Nutzer bedeutet

Datenschutztechnologie funktioniert, indem sie verbirgt, wer mit wem spricht und was gesagt wird. Dieser Vorteil gilt gleichermaßen für einen Journalisten, der eine Quelle schützt, und für einen Angreifer, der einen Server schützt. Dasselbe gilt für VPNs, Tor und Overlay-Netzwerke wie Yggdrasil.

Diese Dual-Use-Realität ist wichtig, weil sie politische Debatten prägt. Regierungen, die Anonymitätstools einschränken wollen, verweisen oft auf kriminellen Missbrauch. Wir haben Druck auf Datenschutztools auch anderswo gesehen, etwa die in unserem Beitrag zu Russlands VPN-Steuer und den Kosten der Privatsphäre beschriebene Kampagne in Russland. Der ESET-Fund ist eine Erinnerung daran, dass Missbrauch existiert, aber das ist kein Argument dafür, dass normale Nutzer auf Verschlüsselung verzichten sollten.

Was das für Sie bedeutet

Für alltägliche Nutzer von VPN- und Datenschutztools signalisiert dieser Bericht kein neues Risiko für Ihre eigene Verbindung. Nichts in der Quelle deutet darauf hin, dass Yggdrasil-Nutzer oder VPN-Kunden betroffen waren. Die praktischen Erkenntnisse betreffen eher die Perspektive:

  • Datenschutztools sind nicht die Bedrohung. Der Angriff war erfolgreich, weil das Getreideunternehmen kompromittiert wurde, nicht weil ein verschlüsseltes Netzwerk existiert.
  • Rechnen Sie mit mehr Prüfung. Netzwerkadministratoren könnten beginnen, Overlay-Netzwerkverkehr in Unternehmensnetzwerken zu kennzeichnen oder zu blockieren, daher könnten Sie bei der Arbeit oder in der Schule Einschränkungen sehen.
  • Ihre eigenen Geräte zählen weiterhin. Malware auf Ihrem Rechner kann jeden Kanal nutzen, um nach Hause zu telefonieren. Software aktuell zu halten und unbekannte Anhänge zu vermeiden, schützt Sie unabhängig davon, welches Netzwerk der Angreifer nutzt.

Was Verteidiger gegen den Missbrauch von Overlay-Netzwerken tun können

Organisationen, insbesondere in den Bereichen Logistik, Landwirtschaft und anderen Sektoren der Lieferkette, können sinnvolle Schritte unternehmen, ohne Datenschutztechnologie überall zu verbieten:

  1. Wissen, wie normal aussieht. Erstellen Sie eine Baseline des ausgehenden Datenverkehrs, damit ungewöhnliche Peer-to-Peer- oder Overlay-Verbindungen auffallen.
  2. Standardmäßig einschränken. Wenn ein Unternehmen keinen Grund hat, Overlay-Netzwerke auf Servern oder Workstations zu betreiben, kann Egress-Filterung sie blockieren.
  3. Endpunkte überwachen, nicht nur den Perimeter. Wenn Netzwerkverkehr schwer zu inspizieren ist, kann Endpoint-Erkennung dennoch verdächtige Prozesse aufspüren.
  4. Schnell patchen. Erster Zugang erfolgt oft über Software-Schwachstellen, was zum nächsten Punkt führt.

Mit Russland verbundene Akteure neigen dazu, versteckte Infrastruktur mit ausgenutzten Schwachstellen zu kombinieren. Unser Bericht darüber, wie russische Spione eine Zimbra-Zero-Day-Lücke nutzten, um 2FA-Codes zu stehlen, zeigt die andere Hälfte dieser Vorgehensweise. Auch Insider- und Personalrisiken sind wichtig, wie in unserem Leitfaden zur Überprüfung von Insider-Bedrohungen erläutert wird.

Wichtige Erkenntnisse

Die Geschichte der Yggdrasil network malware Russian hackers-Aktivitäten, wie von ESET berichtet, dreht sich weniger um ein einzelnes Werkzeug als um ein Muster: Angreifer nutzen legitime Datenschutzinfrastruktur zum Verstecken wieder. Halten Sie Ihre Software gepatcht, seien Sie vorsichtig damit, was auf Ihren Geräten läuft, und verstehen Sie, dass sowohl Datenschutztools als auch Software-Schwachstellen von staatlich verbundenen Gruppen ausgenutzt werden können. Um zu sehen, wie die Schwachstellenseite sich auswirkt, lesen Sie unsere Berichterstattung über die Zimbra-Zero-Day-Lücke und halten Sie Ihre Verteidigung mehrschichtig.