ESET on raportoinut, että Venäjään yhdistetyt hakkerit käyttivät Yggdrasil-verkkoa piilottaakseen haitallista toimintaa hyökkäyksessä ukrainalaista viljayritystä vastaan. Löydös on hyödyllinen muistutus siitä, että **Yggdrasil-verkon haittaohjelmia ja venäläishakkereita** koskevat kampanjat eivät nojaa pelkästään eksoottisiin työkaluihin. Ne voivat myös lainata laillista yksityisyys- ja verkkoteknologiaa sulautuakseen joukkoon. Lähdeuutisointi on lyhyt, joten tämä kirjoitus pitäytyy siinä, mikä on vahvistettu, ja selittää laajemman kontekstin huolellisesti. ## Mitä ESET löysi ukrainalaiseen viljayritykseen kohdistuneessa hyökkäyksessä ESET:n mukaan Venäjään yhdistetyt hakkerit käyttivät Yggdrasil-verkkoa piilottaakseen haittaohjelman hyökkäyksessä ukrainalaista viljayritystä vastaan. Erillinen uutisointi kuvailee Yggdrasilia vapaaehtoisvoimin ylläpidetyksi verkoksi ja kertoo, että sitä käytettiin viestinnän peittämiseen hyökkäyksessä ukrainalaista viljalogistiikkayritystä vastaan. Saatavilla oleva uutisointi ei tarjoa tarkempia teknisiä yksityiskohtia, kuten miten hyökkääjät saivat alun perin pääsyn, mitkä haittaohjelmaperheet olivat mukana tai mikä oli aiottu vahinko. Emme aio arvailla näitä seikkoja. Selvää on kuvio: hyökkääjät valitsivat salatun overlay-verkon liikenteensä piilopaikaksi. ## Miten Yggdrasil auttoi hyökkääjiä piilottamaan liikenteensä Yggdrasil on salattu overlay-verkko. Yksinkertaisesti sanottuna se luo verkon tavallisen internetin päälle, jossa osallistujat yhdistävät toisiinsa vertaisverkkojen kautta ja saavat osoitteita kyseisen overlay-verkon sisällä. Koska sitä ylläpidetään vapaaehtoisvoimin ja se on hajautettu, ei ole yhtä yritystä, joka sitä operoisi ja jolta voisi helposti pyytää toiminnan estämistä tai lokittamista. Hyökkääjälle tämä on houkuttelevaa komentoyhteyksien eli command-and-controlin kannalta, joka on viestintäkanava uhrin koneella olevan haittaohjelman ja sitä ohjaavien tahojen välillä. Jos tartunnan saaneet järjestelmät viestivät ohjaajien kanssa overlay-verkon kautta, liikenne voi näyttää erilaiselta kuin yhteydet tunnettuun haitalliseen palvelimeen. Puolustajat, jotka luottavat epäilyttävien IP-osoitteiden ja verkkotunnusten estolistoihin, voivat saada vähemmän tarttumapintaa, koska kohde ei ole tavanomainen hosting-palveluntarjoaja. Tämä ei tarkoita, että verkko itsessään olisi haitallinen. Se tarkoittaa, että neutraali työkalu voidaan suunnata haitalliseen päämäärään. ## Miksi anonymiteettityökalut ovat kaksikäyttöisiä ja mitä se tarkoittaa VPN-käyttäjille Yksityisyysteknologia toimii piilottamalla, kuka puhuu kenelle ja mitä he sanovat. Tämä hyöty pätee yhtä lailla toimittajaan, joka suojelee lähdettään, kuin hyökkääjään, joka suojelee palvelinta. Sama pätee VPN:iin, Toriin ja overlay-verkkoihin kuten Yggdrasiliin. Tämä kaksikäyttöisyyden todellisuus on merkityksellistä, koska se muovaa poliittista keskustelua. Hallitukset, jotka haluavat rajoittaa anonymiteettityökaluja, viittaavat usein rikolliseen väärinkäyttöön. Olemme nähneet painostusta yksityisyystyökaluja kohtaan muuallakin, kuten Venäjän ajama linja, jota käsittelimme artikkelissamme [Venäjän VPN-vero ja yksityisyyden hinta](/en/russia-s-vpn-tax-making-privacy-more-expensive). ESET:n löydös on muistutus siitä, että väärinkäyttöä on olemassa, mutta se ei ole argumentti sen puolesta, että tavallisten käyttäjien pitäisi luopua salauksesta. ## Mitä tämä tarkoittaa sinulle Jokapäiväisille VPN- ja yksityisyystyökalujen käyttäjille tämä raportti ei merkitse mitään uutta riskiä omalle yhteydellesi. Mikään lähteessä ei viittaa siihen, että Yggdrasilin käyttäjät tai VPN-asiakkaat olisivat kärsineet. Käytännön opetukset liittyvät enemmän näkökulmaan: - **Yksityisyystyökalut eivät ole uhka.** Hyökkäys onnistui, koska viljayritys oli murrettu, ei siksi, että salattu verkko on olemassa. - **Odotettavissa on enemmän tarkastelua.** Verkkojärjestelmänvalvojat saattavat alkaa merkitä tai estää overlay-verkkoliikennettä yritysverkoissa, joten saatat nähdä rajoituksia töissä tai koulussa. - **Omat laitteesi ovat edelleen tärkeitä.** Koneellasi oleva haittaohjelma voi käyttää mitä tahansa kanavaa yhteydenottoon kotiin. Ohjelmistojen ajan tasalla pitäminen ja tuntemattomien liitteiden välttäminen suojaavat sinua riippumatta siitä, mitä verkkoa hyökkääjä käyttää. ## Mitä puolustajat voivat tehdä overlay-verkkojen väärinkäytölle Organisaatiot, erityisesti logistiikan, maatalouden ja muiden toimitusketjualojen toimijat, voivat toteuttaa järkeviä toimenpiteitä kieltämättä yksityisyysteknologiaa kaikkialla: 1. **Tunne, miltä normaali näyttää.** Kartoita lähtevän liikenteen perustaso, jotta epätavalliset vertaisverkko- tai overlay-yhteydet erottuvat. 2. **Rajoita oletuksena.** Jos yrityksellä ei ole syytä käyttää overlay-verkkoja palvelimilla tai työasemilla, lähtevän liikenteen suodatus voi estää ne. 3. **Valvo päätelaitteita, älä vain reunaa.** Kun verkkoliikennettä on vaikea tarkastella, päätelaitteiden tunnistus voi silti havaita epäilyttäviä prosesseja. 4. **Paikkaa nopeasti.** Alkuperäinen pääsy tulee usein ohjelmistovirheiden kautta, mikä johtaa seuraavaan kohtaan. Venäjään yhdistetyt toimijat yhdistävät tyypillisesti piilotetun infrastruktuurin hyödynnettyihin haavoittuvuuksiin. Raporttimme siitä, miten [venäläisvakoojat käyttivät Zimbran nollapäivähaavoittuvuutta 2FA-koodien varastamiseen](/en/russian-spies-used-zimbra-zero-day-to-steal-2fa-codes), osoittaa tämän menetelmän toisen puolen. Myös sisäpiiri- ja henkilöstöriskit ovat merkityksellisiä, kuten käsiteltiin [sisäpiiriuhkien taustatarkistusoppaassamme](/en/ransomware-negotiator-arrest-insider-threat-vetting-guide). ## Keskeiset opetukset Tarina **Yggdrasil-verkon haittaohjelmista ja venäläishakkereista** ESET:n raportoimana kertoo vähemmän yksittäisestä työkalusta ja enemmän kuviosta: hyökkääjät käyttävät uudelleen laillista yksityisyysinfrastruktuuria piiloutuakseen. Pidä ohjelmistosi paikattuna, ole varovainen sen suhteen, mitä laitteillasi ajetaan, ja ymmärrä, että sekä yksityisyystyökaluja että ohjelmistohaavoittuvuuksia voivat hyödyntää valtioihin yhdistetyt ryhmät. Nähdäksesi, miten haavoittuvuuksien puoli ilmenee, lue kattavuutemme [Zimbran nollapäivähaavoittuvuudesta](/en/russian-spies-used-zimbra-zero-day-to-steal-2fa-codes) ja pidä puolustuksesi kerroksittaisina.