ESET je izvijestio da su hakeri povezani s Rusijom koristili mrežu Yggdrasil za skrivanje zlonamjernih aktivnosti tijekom napada na ukrajinsku tvrtku za žitarice. Taj je nalaz koristan podsjetnik da se kampanje zlonamjernog softvera ruskih hakera u mreži Yggdrasil ne oslanjaju samo na egzotične alate. Mogu posuditi i legitimne tehnologije za privatnost i umrežavanje kako bi se stopili s okolinom.
Izvorno izvješće je kratko, pa se ovaj tekst drži onoga što je potvrđeno i pažljivo objašnjava širi kontekst.
Što je ESET otkrio u napadu na ukrajinsku tvrtku za žitarice
Prema ESET-u, hakeri povezani s Rusijom koristili su mrežu Yggdrasil za skrivanje zlonamjernog softvera tijekom napada na ukrajinsku tvrtku za žitarice. Drugi izvještaji opisuju Yggdrasil kao mrežu koju vode volonteri i navode da je korištena za prikrivanje komunikacije u napadu na ukrajinsku tvrtku koja se bavi logistikom žitarica.
Dostupni izvještaji ne pružaju dodatne tehničke pojedinosti, poput toga kako su napadači prvo dobili pristup, koje su obitelji zlonamjernog softvera bile uključene ili kakva je bila namjeravana šteta. Nećemo nagađati o tim detaljima. Jasno je sljedeće: napadači su odabrali šifriranu overlay mrežu kao skrovište za svoj promet.
Kako je Yggdrasil pomogao napadačima sakriti promet
Yggdrasil je šifrirana overlay mreža. Jednostavno rečeno, stvara mrežu iznad uobičajenog interneta, u kojoj se sudionici međusobno povezuju putem peerova i dobivaju adrese unutar te overlay mreže. Budući da je vode volonteri i da je decentralizirana, ne postoji jedna tvrtka koja njome upravlja i kojoj se lako može uputiti zahtjev za blokiranje ili bilježenje aktivnosti.
Za napadača je to privlačno za command-and-control, komunikacijski kanal između zlonamjernog softvera na žrtvinom stroju i ljudi koji njime upravljaju. Ako zaraženi sustavi komuniciraju s kontrolerima putem overlay mreže, promet može izgledati drukčije od veza prema poznatom zlonamjernom poslužitelju. Branitelji koji se oslanjaju na blokade sumnjivih IP adresa i domena mogu imati manje toga za rad, jer odredište nije uobičajeni pružatelj hostingu.
To ne znači da je sama mreža zlonamjerna. Znači da se neutralan alat može usmjeriti prema štetnom cilju.
Zašto su alati za anonimnost dvojne namjene i što to znači za korisnike VPN-a
Tehnologija privatnosti radi tako da skriva tko razgovara s kim i što govori. Ta korist jednako vrijedi za novinara koji štiti izvor i za napadača koji štiti poslužitelj. Isto vrijedi za VPN-ove, Tor i overlay mreže poput Yggdrasila.
Ta stvarnost dvojne namjene važna je jer oblikuje političke rasprave. Vlade koje žele ograničiti alate za anonimnost često upućuju na kriminalnu zlouporabu. Pritisak na alate za privatnost vidjeli smo i drugdje, poput pritiska u Rusiji opisanog u našem pregledu ruskog poreza na VPN i cijene privatnosti. Nalaz ESET-a podsjetnik je da zlouporaba postoji, ali to nije argument da bi se obični korisnici trebali odreći enkripcije.
Što to znači za vas
Za svakodnevne korisnike VPN-a i alata za privatnost, ovo izvješće ne signalizira nikakav novi rizik za vašu vlastitu vezu. Ništa u izvoru ne upućuje na to da su korisnici Yggdrasila ili korisnici VPN-a bili pogođeni. Praktični zaključci više se odnose na perspektivu:
- Alati za privatnost nisu prijetnja. Napad je uspio jer je tvrtka za žitarice bila kompromitirana, a ne zato što šifrirana mreža postoji.
- Očekujte veći nadzor. Mrežni administratori mogu početi označavati ili blokirati promet overlay mreža na korporativnim mrežama, pa biste mogli naići na ograničenja na poslu ili u školi.
- Vaši vlastiti uređaji i dalje su važni. Zlonamjerni softver na vašem stroju može se javljati kući putem bilo kojeg kanala. Redovito ažuriranje softvera i izbjegavanje nepoznatih privitaka štite vas bez obzira na to koju mrežu napadač koristi.
Što branitelji mogu učiniti u vezi sa zlouporabom overlay mreža
Organizacije, osobito one u logistici, poljoprivredi i drugim sektorima opskrbnog lanca, mogu poduzeti razumne korake bez zabrane tehnologije privatnosti posvuda:
- Znajte kako izgleda normalno stanje. Uspostavite osnovnu razinu odlaznog prometa kako bi neobične peer-to-peer ili overlay veze iskočile.
- Ograničite prema zadanim postavkama. Ako tvrtka nema razloga pokretati overlay mreže na poslužiteljima ili radnim stanicama, filtriranje izlaznog prometa može ih blokirati.
- Nadzirite krajnje točke, ne samo perimetar. Kada je mrežni promet teško pregledati, otkrivanje na krajnjim točkama i dalje može uočiti sumnjive procese.
- Brzo zakrpajte. Početni pristup često dolazi kroz softverske nedostatke, što vodi do sljedeće točke.
Akteri povezani s Rusijom skloni su kombinirati skrivenu infrastrukturu s iskorištenim ranjivostima. Naše izvješće o tome kako su ruski špijuni iskoristili Zimbra zero-day za krađu 2FA kodova pokazuje drugu polovicu te metode. Rizici od insajdera i osoblja također su važni, kao što je razmotreno u našem vodiču za provjeru insajderskih prijetnji.
Ključni zaključci
Priča o aktivnostima zlonamjernog softvera ruskih hakera u mreži Yggdrasil, kako je izvijestio ESET, manje se odnosi na jedan alat, a više na obrazac: napadači ponovno koriste legitimnu infrastrukturu za privatnost kako bi se sakrili. Držite softver zakrpanim, budite oprezni s onim što se izvršava na vašim uređajima i shvatite da i alate za privatnost i softverske ranjivosti mogu iskoristiti skupine povezane s državom. Da biste vidjeli kako se odvija strana ranjivosti, pročitajte naše izvješće o Zimbra zero-day i držite obranu višeslojnom.
