Az ESET arról számolt be, hogy orosz kötődésű hackerek az Yggdrasil hálózatot használták rosszindulatú tevékenységük elrejtésére egy ukrán gabonacég elleni támadás során. A megállapítás hasznos emlékeztető arra, hogy a Yggdrasil hálózat kártevő orosz hackerek kampányok nem csak egzotikus eszközökre támaszkodnak. Kölcsönözhetnek legitim adatvédelmi és hálózati technológiát is, hogy elvegyüljenek.
A forrásul szolgáló beszámoló rövid, ezért ez a bejegyzés csak a megerősített tényekre szorítkozik, és óvatosan magyarázza el a tágabb összefüggéseket.
Mit talált az ESET az ukrán gabonacég elleni támadásban
Az ESET szerint Oroszországhoz köthető hackerek az Yggdrasil hálózatot használták kártevőik elrejtésére egy ukrán gabonacég elleni támadás során. Más beszámolók az Yggdrasilt önkéntesek által működtetett hálózatként írják le, és azt állítják, hogy egy ukrán gabonalogisztikai vállalat elleni támadás során a kommunikáció elrejtésére használták.
A rendelkezésre álló beszámolók nem nyújtanak további technikai részleteket, például arról, hogy a támadók hogyan szereztek első hozzáférést, mely kártevőcsaládok voltak érintettek, vagy mi volt a szándékolt kár. Nem fogunk találgatni ezekben a pontokban. Ami világos, az a minta: a támadók egy titkosított overlay hálózatot választottak forgalmuk rejtekhelyéül.
Hogyan segített az Yggdrasil a támadóknak forgalmuk elrejtésében
Az Yggdrasil egy titkosított overlay hálózat. Egyszerűen fogalmazva, a hagyományos internet fölé épített hálózatot hoz létre, ahol a résztvevők peer kapcsolatokon keresztül kapcsolódnak egymáshoz, és címeket kapnak az overlay-en belül. Mivel önkéntesek működtetik és decentralizált, nincs egyetlen vállalat, amely üzemeltetné, és amelyet könnyen meg lehetne kérni a tevékenység blokkolására vagy naplózására.
Egy támadó számára ez vonzó a parancs- és vezérléshez (command-and-control), vagyis a fertőzött gép kártevője és az azt irányítók közötti kommunikációs csatornához. Ha a fertőzött rendszerek overlay hálózaton keresztül kommunikálnak a vezérlőkkel, a forgalom másképp nézhet ki, mint az ismert rosszindulatú szerverhez történő kapcsolódások. Azok a védekezők, akik gyanús IP-címek és domainek blokklistáira támaszkodnak, kevesebb fogódzóval rendelkezhetnek, mivel a cél nem egy hagyományos hosting szolgáltató.
Ez nem jelenti azt, hogy maga a hálózat rosszindulatú. Azt jelenti, hogy egy semleges eszközt is lehet káros célra irányítani.
Miért kettős felhasználásúak az anonimitási eszközök, és mit jelent ez a VPN-felhasználók számára
Az adatvédelmi technológia úgy működik, hogy elrejti, ki kivel beszél és mit mond. Ez az előny egyformán érvényes egy forrását védő újságíróra és egy szervert védő támadóra. Ugyanez igaz a VPN-ekre, a Tor-ra és az olyan overlay hálózatokra, mint az Yggdrasil.
Ez a kettős felhasználású valóság azért számít, mert alakítja a szakpolitikai vitákat. Az anonimitási eszközöket korlátozni kívánó kormányok gyakran hivatkoznak a bűnözői visszaélésekre. Láttunk már nyomást az adatvédelmi eszközökön másutt is, például az Oroszországban zajló nyomást, amelyet az oroszországi VPN-adóról és az adatvédelem költségéről szóló cikkünkben írtunk le. Az ESET megállapítása emlékeztető arra, hogy létezik visszaélés, de ez nem érv amellett, hogy a hétköznapi felhasználóknak fel kellene adniuk a titkosítást.
Mit jelent ez Önnek
A mindennapi VPN- és adatvédelmi eszközhasználók számára ez a jelentés nem jelez semmilyen új kockázatot a saját kapcsolatukra nézve. A forrásban semmi sem utal arra, hogy az Yggdrasil felhasználói vagy VPN-ügyfelek érintettek lennének. A gyakorlati tanulságok inkább a szemléletre vonatkoznak:
- Az adatvédelmi eszközök nem a fenyegetés. A támadás azért sikerült, mert a gabonacéget kompromittálták, nem azért, mert létezik egy titkosított hálózat.
- Számítson nagyobb ellenőrzésre. A hálózati adminisztrátorok elkezdhetik jelölni vagy blokkolni az overlay hálózati forgalmat a vállalati hálózatokon, így munkahelyén vagy iskolájában korlátozásokkal találkozhat.
- A saját eszközei továbbra is számítanak. A gépén lévő kártevő bármilyen csatornát használhat a hazatelefonáláshoz. A szoftverek naprakészen tartása és az ismeretlen mellékletek elkerülése védi Önt, függetlenül attól, melyik hálózatot használja a támadó.
Mit tehetnek a védekezők az overlay hálózatokkal való visszaélés ellen
A szervezetek, különösen a logisztika, a mezőgazdaság és más ellátási lánc szektorokban, ésszerű lépéseket tehetnek anélkül, hogy mindenhol betiltanák az adatvédelmi technológiát:
- Ismerjék, hogyan néz ki a normális. Alapozzák meg a kimenő forgalmat, hogy a szokatlan peer-to-peer vagy overlay kapcsolatok kitűnjenek.
- Alapértelmezésben korlátozzanak. Ha egy vállalatnak nincs oka overlay hálózatok futtatására szervereken vagy munkaállomásokon, a kimenő szűrés blokkolhatja azokat.
- Végpontokat figyeljenek, ne csak a perimetert. Amikor a hálózati forgalmat nehéz vizsgálni, a végponti észlelés még mindig kiszúrhatja a gyanús folyamatokat.
- Javítsanak gyorsan. Az első hozzáférés gyakran szoftverhibákon keresztül történik, ami elvezet a következő ponthoz.
Az orosz kötődésű szereplők hajlamosak a rejtett infrastruktúrát kihasznált sebezhetőségekkel kombinálni. Az orosz kémek hogyan használtak egy Zimbra zero-day-t 2FA-kódok ellopására szóló jelentésünk ennek a mesterségnek a másik felét mutatja. A belső és személyzeti kockázatok is számítanak, ahogyan azt a belső fenyegetés átvizsgálási útmutatónkban tárgyaltuk.
Kulcsfontosságú tanulságok
A Yggdrasil hálózat kártevő orosz hackerek tevékenységének története, ahogyan az ESET jelentette, kevésbé egyetlen eszközről szól, mint inkább egy mintáról: a támadók újrahasznosítják a legitim adatvédelmi infrastruktúrát az elrejtőzéshez. Tartsák naprakészen szoftvereiket, legyenek óvatosak azzal kapcsolatban, mi fut az eszközeiken, és értsék meg, hogy az adatvédelmi eszközöket és a szoftver-sebezhetőségeket egyaránt kihasználhatják államilag kötődő csoportok. Hogy lássák, hogyan játszódik le a sebezhetőségi oldal, olvassák el a Zimbra zero-dayről szóló beszámolónkat, és tartsák rétegezett védekezésüket.
