Η ESET ανέφερε ότι χάκερ με ρωσικούς δεσμούς χρησιμοποίησαν το δίκτυο Yggdrasil για να συγκαλύψουν κακόβουλη δραστηριότητα κατά τη διάρκεια επίθεσης σε ουκρανική εταιρεία σιτηρών. Το εύρημα είναι μια χρήσιμη υπενθύμιση ότι οι εκστρατείες Yggdrasil network malware Russian hackers δεν βασίζονται μόνο σε εξωτικά εργαλεία. Μπορούν επίσης να δανειστούν νόμιμη τεχνολογία ιδιωτικότητας και δικτύωσης για να καμουφλαριστούν.
Η αναφορά της πηγής είναι σύντομη, επομένως αυτό το άρθρο περιορίζεται σε όσα έχουν επιβεβαιωθεί και εξηγεί το ευρύτερο πλαίσιο με προσοχή.
Τι βρήκε η ESET στην επίθεση κατά της ουκρανικής εταιρείας σιτηρών
Σύμφωνα με την ESET, χάκερ με δεσμούς στη Ρωσία χρησιμοποίησαν το δίκτυο Yggdrasil για να κρύψουν κακόβουλο λογισμικό κατά τη διάρκεια επίθεσης σε ουκρανική εταιρεία σιτηρών. Ξεχωριστή κάλυψη περιγράφει το Yggdrasil ως δίκτυο που λειτουργεί από εθελοντές και αναφέρει ότι χρησιμοποιήθηκε για την απόκρυψη επικοινωνιών σε επίθεση κατά ουκρανικής επιχείρησης εφοδιαστικής σιτηρών.
Η διαθέσιμη αναφορά δεν παρέχει περαιτέρω τεχνικές λεπτομέρειες, όπως το πώς οι επιτιθέμενοι απέκτησαν αρχικά πρόσβαση, ποιες οικογένειες κακόβουλου λογισμικού εμπλέκονταν ή ποια ήταν η επιδιωκόμενη ζημιά. Δεν πρόκειται να κάνουμε εικασίες σε αυτά τα σημεία. Αυτό που είναι σαφές είναι το μοτίβο: οι επιτιθέμενοι επέλεξαν ένα κρυπτογραφημένο δίκτυο επικάλυψης ως κρυψώνα για την κίνησή τους.
Πώς το Yggdrasil βοήθησε τους επιτιθέμενους να κρύψουν την κίνησή τους
Το Yggdrasil είναι ένα κρυπτογραφημένο δίκτυο επικάλυψης. Με απλά λόγια, δημιουργεί ένα δίκτυο πάνω από το κανονικό διαδίκτυο, όπου οι συμμετέχοντες συνδέονται μεταξύ τους μέσω ομότιμων κόμβων και λαμβάνουν διευθύνσεις μέσα σε αυτή την επικάλυψη. Επειδή λειτουργεί από εθελοντές και είναι αποκεντρωμένο, δεν υπάρχει μία μόνο εταιρεία που το διαχειρίζεται και στην οποία μπορεί εύκολα να ζητηθεί να αποκλείσει ή να καταγράψει δραστηριότητα.
Για έναν επιτιθέμενο, αυτό είναι ελκυστικό για command-and-control, το κανάλι επικοινωνίας μεταξύ του κακόβουλου λογισμικού σε ένα μηχάνημα θύματος και των ανθρώπων που το ελέγχουν. Αν τα μολυσμένα συστήματα επικοινωνούν με τους ελεγκτές μέσω ενός δικτύου επικάλυψης, η κίνηση μπορεί να φαίνεται διαφορετική από συνδέσεις προς έναν γνωστό κακόβουλο διακομιστή. Οι αμυνόμενοι που βασίζονται σε λίστες αποκλεισμού ύποπτων διευθύνσεων IP και τομέων μπορεί να έχουν λιγότερα δεδομένα για να δουλέψουν, καθώς ο προορισμός δεν είναι ένας συμβατικός πάροχος φιλοξενίας.
Αυτό δεν σημαίνει ότι το ίδιο το δίκτυο είναι κακόβουλο. Σημαίνει ότι ένα ουδέτερο εργαλείο μπορεί να στραφεί προς έναν επιβλαβή σκοπό.
Γιατί τα εργαλεία ανωνυμίας είναι διπλής χρήσης και τι σημαίνει αυτό για τους χρήστες VPN
Η τεχνολογία ιδιωτικότητας λειτουργεί κρύβοντας ποιος μιλάει σε ποιον και τι λέει. Αυτό το όφελος ισχύει εξίσου για έναν δημοσιογράφο που προστατεύει μια πηγή και για έναν επιτιθέμενο που προστατεύει έναν διακομιστή. Το ίδιο ισχύει για VPN, Tor και δίκτυα επικάλυψης όπως το Yggdrasil.
Αυτή η πραγματικότητα διπλής χρήσης έχει σημασία επειδή διαμορφώνει τις πολιτικές συζητήσεις. Οι κυβερνήσεις που θέλουν να περιορίσουν τα εργαλεία ανωνυμίας συχνά επικαλούνται εγκληματική κατάχρηση. Έχουμε δει πίεση στα εργαλεία ιδιωτικότητας και αλλού, όπως η ώθηση στη Ρωσία που περιγράφεται στο άρθρο μας Ο φόρος VPN της Ρωσίας και το κόστος της ιδιωτικότητας. Το εύρημα της ESET είναι μια υπενθύμιση ότι η κατάχρηση υπάρχει, αλλά δεν αποτελεί επιχείρημα ότι οι απλοί χρήστες θα πρέπει να εγκαταλείψουν την κρυπτογράφηση.
Τι σημαίνει αυτό για εσάς
Για τους καθημερινούς χρήστες VPN και εργαλείων ιδιωτικότητας, αυτή η αναφορά δεν σηματοδοτεί κανέναν νέο κίνδυνο για τη δική σας σύνδεση. Τίποτα στην πηγή δεν υποδηλώνει ότι χρήστες του Yggdrasil ή πελάτες VPN επηρεάστηκαν. Τα πρακτικά συμπεράσματα αφορούν περισσότερο την οπτική:
- Τα εργαλεία ιδιωτικότητας δεν είναι η απειλή. Η επίθεση πέτυχε επειδή η εταιρεία σιτηρών παραβιάστηκε, όχι επειδή υπάρχει ένα κρυπτογραφημένο δίκτυο.
- Περιμένετε περισσότερο έλεγχο. Οι διαχειριστές δικτύων μπορεί να αρχίσουν να επισημαίνουν ή να αποκλείουν κίνηση δικτύων επικάλυψης σε εταιρικά δίκτυα, οπότε μπορεί να δείτε περιορισμούς στη δουλειά ή στο σχολείο.
- Οι δικές σας συσκευές έχουν ακόμα σημασία. Το κακόβουλο λογισμικό στο μηχάνημά σας μπορεί να χρησιμοποιήσει οποιοδήποτε κανάλι για να επικοινωνήσει με το σπίτι του. Η διατήρηση του λογισμικού ενημερωμένου και η αποφυγή άγνωστων συνημμένων σας προστατεύουν ανεξάρτητα από το δίκτυο που χρησιμοποιεί ο επιτιθέμενος.
Τι μπορούν να κάνουν οι αμυνόμενοι για την κατάχρηση δικτύων επικάλυψης
Οι οργανισμοί, ειδικά εκείνοι στους τομείς της εφοδιαστικής, της γεωργίας και άλλων τομέων της εφοδιαστικής αλυσίδας, μπορούν να λάβουν λογικά μέτρα χωρίς να απαγορεύσουν την τεχνολογία ιδιωτικότητας παντού:
- Μάθετε πώς μοιάζει το φυσιολογικό. Καταγράψτε τη βασική εξερχόμενη κίνηση ώστε οι ασυνήθιστες συνδέσεις ομότιμων κόμβων ή επικάλυψης να ξεχωρίζουν.
- Περιορίστε εξ ορισμού. Αν μια επιχείρηση δεν έχει λόγο να εκτελεί δίκτυα επικάλυψης σε διακομιστές ή σταθμούς εργασίας, το φιλτράρισμα εξερχόμενης κίνησης μπορεί να τα αποκλείσει.
- Παρακολουθήστε τελικά σημεία, όχι μόνο το περίγραμμα. Όταν η κίνηση δικτύου είναι δύσκολο να επιθεωρηθεί, η ανίχνευση τελικών σημείων μπορεί ακόμα να εντοπίσει ύποπτες διεργασίες.
- Ενημερώστε γρήγορα. Η αρχική πρόσβαση συχνά προέρχεται από αδυναμίες λογισμικού, που οδηγεί στο επόμενο σημείο.
Οι δρώντες με ρωσικούς δεσμούς τείνουν να συνδυάζουν κρυφή υποδομή με εκμεταλλευόμενες αδυναμίες. Η αναφορά μας για το πώς Ρώσοι κατάσκοποι χρησιμοποίησαν ένα zero-day του Zimbra για να κλέψουν κωδικούς 2FA δείχνει το άλλο μισό αυτής της τεχνικής. Οι κίνδυνοι από εσωτερικούς παράγοντες και προσωπικό έχουν επίσης σημασία, όπως συζητείται στον οδηγό μας για τον έλεγχο απειλών από εσωτερικούς παράγοντες.
Βασικά συμπεράσματα
Η ιστορία της δραστηριότητας Yggdrasil network malware Russian hackers, όπως αναφέρθηκε από την ESET, αφορά λιγότερο ένα μεμονωμένο εργαλείο και περισσότερο ένα μοτίβο: οι επιτιθέμενοι επαναχρησιμοποιούν νόμιμη υποδομή ιδιωτικότητας για να κρυφτούν. Διατηρήστε το λογισμικό σας ενημερωμένο, να είστε προσεκτικοί με το τι εκτελείται στις συσκευές σας και κατανοήστε ότι τόσο τα εργαλεία ιδιωτικότητας όσο και οι αδυναμίες λογισμικού μπορούν να εκμεταλλευτούν ομάδες με κρατικούς δεσμούς. Για να δείτε πώς εκτυλίσσεται η πλευρά των αδυναμιών, διαβάστε την κάλυψή μας για το zero-day του Zimbra και διατηρήστε τις άμυνές σας σε επίπεδα.
