ESET a rapporté que des pirates liés à la Russie ont utilisé le réseau Yggdrasil pour dissimuler des activités malveillantes lors d'une attaque contre une entreprise céréalière ukrainienne. Cette découverte rappelle utilement que les campagnes de logiciels malveillants du réseau Yggdrasil par des pirates russes ne reposent pas uniquement sur des outils exotiques. Elles peuvent aussi emprunter des technologies légitimes de confidentialité et de mise en réseau pour se fondre dans le décor.

La source qui rapporte l'information est brève, cet article s'en tient donc à ce qui a été confirmé et explique le contexte plus large avec prudence.

Ce qu'ESET a découvert dans l'attaque contre l'entreprise céréalière ukrainienne

Selon ESET, des pirates liés à la Russie ont utilisé le réseau Yggdrasil pour cacher un logiciel malveillant lors d'une attaque contre une entreprise céréalière ukrainienne. Une couverture distincte décrit Yggdrasil comme un réseau géré par des bénévoles et indique qu'il a été utilisé pour dissimuler des communications lors d'une attaque contre une entreprise ukrainienne de logistique céréalière.

Les informations disponibles ne fournissent pas d'autres détails techniques, comme la manière dont les attaquants ont obtenu un premier accès, les familles de logiciels malveillants impliquées ou les dommages visés. Nous n'allons pas spéculer sur ces points. Ce qui est clair, c'est le schéma : les attaquants ont choisi un réseau superposé chiffré comme cachette pour leur trafic.

Comment Yggdrasil a aidé les attaquants à dissimuler leur trafic

Yggdrasil est un réseau superposé chiffré. En termes simples, il crée un réseau par-dessus l'internet classique, où les participants se connectent les uns aux autres via des pairs et obtiennent des adresses à l'intérieur de cette superposition. Parce qu'il est géré par des bénévoles et qu'il est décentralisé, aucune entreprise unique ne l'exploite et ne peut facilement être sollicitée pour bloquer ou journaliser l'activité.

Pour un attaquant, c'est attrayant pour le command-and-control, le canal de communication entre le logiciel malveillant sur une machine victime et les personnes qui le contrôlent. Si les systèmes infectés communiquent avec les contrôleurs via un réseau superposé, le trafic peut sembler différent des connexions à un serveur malveillant connu. Les défenseurs qui s'appuient sur des listes de blocage d'adresses IP et de domaines suspects disposent de moins d'éléments, puisque la destination n'est pas un hébergeur conventionnel.

Cela ne signifie pas que le réseau lui-même est malveillant. Cela signifie qu'un outil neutre peut être détourné vers un objectif nuisible.

Pourquoi les outils d'anonymat sont à double usage, et ce que cela signifie pour les utilisateurs de VPN

La technologie de confidentialité fonctionne en cachant qui parle à qui et ce qu'ils disent. Cet avantage s'applique tout autant à un journaliste protégeant une source qu'à un attaquant protégeant un serveur. Il en va de même pour les VPN, Tor et les réseaux superposés comme Yggdrasil.

Cette réalité du double usage compte parce qu'elle façonne les débats politiques. Les gouvernements qui veulent restreindre les outils d'anonymat invoquent souvent les usages criminels. Nous avons observé des pressions sur les outils de confidentialité ailleurs, comme la poussée en Russie décrite dans notre analyse de la taxe russe sur les VPN et le coût de la confidentialité. La découverte d'ESET rappelle que l'usage abusif existe, mais ce n'est pas un argument pour que les utilisateurs ordinaires renoncent au chiffrement.

Ce que cela signifie pour vous

Pour les utilisateurs quotidiens de VPN et d'outils de confidentialité, ce rapport ne signale aucun nouveau risque pour votre propre connexion. Rien dans la source ne suggère que les utilisateurs de Yggdrasil ou les clients de VPN aient été affectés. Les enseignements pratiques relèvent davantage de la perspective :

  • Les outils de confidentialité ne sont pas la menace. L'attaque a réussi parce que l'entreprise céréalière a été compromise, pas parce qu'un réseau chiffré existe.
  • Attendez-vous à plus de scrutiny. Les administrateurs réseau peuvent commencer à signaler ou bloquer le trafic des réseaux superposés sur les réseaux d'entreprise, vous pourriez donc voir des restrictions au travail ou à l'école.
  • Vos propres appareils comptent toujours. Un logiciel malveillant sur votre machine peut utiliser n'importe quel canal pour communiquer avec son serveur. Garder les logiciels à jour et éviter les pièces jointes inconnues vous protège, quel que soit le réseau utilisé par l'attaquant.

Ce que les défenseurs peuvent faire contre l'abus des réseaux superposés

Les organisations, en particulier celles des secteurs de la logistique, de l'agriculture et d'autres secteurs de la chaîne d'approvisionnement, peuvent prendre des mesures sensées sans interdire partout la technologie de confidentialité :

  1. Sachez à quoi ressemble la normale. Établissez une référence du trafic sortant afin que les connexions pair-à-pair ou superposées inhabituelles ressortent.
  2. Restreignez par défaut. Si une entreprise n'a aucune raison d'exécuter des réseaux superposés sur ses serveurs ou postes de travail, le filtrage de sortie peut les bloquer.
  3. Surveillez les points de terminaison, pas seulement le périmètre. Lorsque le trafic réseau est difficile à inspecter, la détection sur les points de terminaison peut encore repérer des processus suspects.
  4. Corrigez rapidement. L'accès initial passe souvent par des failles logicielles, ce qui mène au point suivant.

Les acteurs liés à la Russie ont tendance à combiner une infrastructure cachée avec des vulnérabilités exploitées. Notre rapport sur la manière dont des espions russes ont utilisé un zero-day Zimbra pour voler des codes 2FA montre l'autre moitié de ce savoir-faire. Les risques liés aux initiés et au personnel comptent aussi, comme le montre notre guide de vérification des menaces internes.

Points clés à retenir

L'histoire de l'activité de logiciels malveillants du réseau Yggdrasil par des pirates russes, telle que rapportée par ESET, porte moins sur un outil unique que sur un schéma : les attaquants réutilisent une infrastructure de confidentialité légitime pour se cacher. Gardez vos logiciels à jour, soyez prudent quant à ce qui s'exécute sur vos appareils, et comprenez que les outils de confidentialité comme les vulnérabilités logicielles peuvent être exploités par des groupes liés à des États. Pour voir comment le volet des vulnérabilités se manifeste, lisez notre couverture du zero-day Zimbra et gardez vos défenses en couches.