ESET melaporkan bahwa peretas yang terkait dengan Rusia menggunakan jaringan Yggdrasil untuk menyembunyikan aktivitas berbahaya selama serangan terhadap sebuah perusahaan gandum Ukraina. Temuan ini adalah pengingat berguna bahwa kampanye malware jaringan Yggdrasil peretas Rusia tidak hanya mengandalkan alat eksotis. Mereka juga dapat meminjam teknologi privasi dan jaringan yang sah untuk menyamar.
Laporan sumbernya singkat, jadi tulisan ini berpegang pada apa yang telah dikonfirmasi dan menjelaskan konteks yang lebih luas dengan hati-hati.
Apa yang Ditemukan ESET dalam Serangan terhadap Perusahaan Gandum Ukraina
Menurut ESET, peretas yang terkait dengan Rusia menggunakan jaringan Yggdrasil untuk menyembunyikan malware selama serangan terhadap sebuah perusahaan gandum Ukraina. Liputan terpisah menggambarkan Yggdrasil sebagai jaringan yang dijalankan oleh relawan dan menyebutkan bahwa jaringan itu digunakan untuk menyembunyikan komunikasi dalam serangan terhadap sebuah bisnis logistik gandum Ukraina.
Laporan yang tersedia tidak memberikan detail teknis lebih lanjut, seperti bagaimana penyerang pertama kali mendapatkan akses, keluarga malware mana yang terlibat, atau apa kerusakan yang dimaksudkan. Kami tidak akan menebak-nebak soal itu. Yang jelas adalah polanya: penyerang memilih jaringan overlay terenkripsi sebagai tempat persembunyian lalu lintas mereka.
Bagaimana Yggdrasil Membantu Penyerang Menyembunyikan Lalu Lintas Mereka
Yggdrasil adalah jaringan overlay terenkripsi. Secara sederhana, ini menciptakan jaringan di atas internet biasa, di mana para peserta terhubung satu sama lain melalui peer dan mendapatkan alamat di dalam overlay tersebut. Karena dijalankan oleh relawan dan terdesentralisasi, tidak ada satu perusahaan pun yang mengoperasikannya yang dapat dengan mudah diminta untuk memblokir atau mencatat aktivitas.
Bagi penyerang, hal itu menarik untuk command-and-control, saluran komunikasi antara malware di mesin korban dan pihak yang mengendalikannya. Jika sistem yang terinfeksi berbicara dengan pengendali melalui jaringan overlay, lalu lintasnya bisa terlihat berbeda dari koneksi ke server berbahaya yang diketahui. Pertahanan yang mengandalkan daftar blokir alamat IP dan domain mencurigakan mungkin memiliki lebih sedikit bahan untuk bekerja, karena tujuannya bukan penyedia hosting konvensional.
Ini tidak berarti jaringan itu sendiri berbahaya. Ini berarti alat netral dapat diarahkan pada tujuan yang merugikan.
Mengapa Alat Anonimitas Bersifat Dual-Use, dan Apa Artinya bagi Pengguna VPN
Teknologi privasi bekerja dengan menyembunyikan siapa yang berbicara dengan siapa dan apa yang mereka katakan. Manfaat itu berlaku sama bagi seorang jurnalis yang melindungi sumbernya dan bagi penyerang yang melindungi servernya. Hal yang sama berlaku untuk VPN, Tor, dan jaringan overlay seperti Yggdrasil.
Realitas dual-use itu penting karena membentuk debat kebijakan. Pemerintah yang ingin membatasi alat anonimitas sering menunjuk pada penyalahgunaan kriminal. Kita telah melihat tekanan terhadap alat privasi di tempat lain, seperti dorongan di Rusia yang dijelaskan dalam ulasan kami tentang pajak VPN Rusia dan biaya privasi. Temuan ESET adalah pengingat bahwa penyalahgunaan memang ada, tetapi itu bukan argumen bahwa pengguna biasa harus melepaskan enkripsi.
Apa Artinya bagi Anda
Bagi pengguna VPN dan alat privasi sehari-hari, laporan ini tidak menandakan adanya risiko baru bagi koneksi Anda sendiri. Tidak ada dalam sumber yang menunjukkan bahwa pengguna Yggdrasil atau pelanggan VPN terpengaruh. Poin praktisnya lebih tentang perspektif:
- Alat privasi bukanlah ancamannya. Serangan berhasil karena perusahaan gandum tersebut dikompromikan, bukan karena jaringan terenkripsi itu ada.
- Bersiaplah untuk pengawasan yang lebih ketat. Administrator jaringan mungkin mulai menandai atau memblokir lalu lintas jaringan overlay di jaringan korporat, jadi Anda mungkin melihat pembatasan di tempat kerja atau sekolah.
- Perangkat Anda sendiri tetap penting. Malware di mesin Anda dapat menggunakan saluran apa pun untuk menghubungi rumah. Menjaga perangkat lunak tetap diperbarui dan menghindari lampiran yang tidak dikenal melindungi Anda terlepas dari jaringan mana yang digunakan penyerang.
Apa yang Dapat Dilakukan Pertahanan terhadap Penyalahgunaan Jaringan Overlay
Organisasi, terutama yang bergerak di bidang logistik, pertanian, dan sektor rantai pasok lainnya, dapat mengambil langkah-langkah yang masuk akal tanpa melarang teknologi privasi di mana-mana:
- Ketahui seperti apa kondisi normalnya. Buat baseline lalu lintas keluar agar koneksi peer-to-peer atau overlay yang tidak biasa menonjol.
- Batasi secara default. Jika sebuah bisnis tidak memiliki alasan untuk menjalankan jaringan overlay di server atau workstation, penyaringan egress dapat memblokirnya.
- Pantau endpoint, bukan hanya perimeter. Ketika lalu lintas jaringan sulit diperiksa, deteksi endpoint tetap dapat menemukan proses yang mencurigakan.
- Tambal dengan cepat. Akses awal sering kali datang melalui celah perangkat lunak, yang mengarah ke poin berikutnya.
Aktor yang terkait dengan Rusia cenderung menggabungkan infrastruktur tersembunyi dengan kerentanan yang dieksploitasi. Laporan kami tentang bagaimana mata-mata Rusia menggunakan zero-day Zimbra untuk mencuri kode 2FA menunjukkan separuh lain dari teknik tersebut. Risiko orang dalam dan personel juga penting, seperti yang dibahas dalam panduan vetting ancaman orang dalam kami.
Poin-Poin Penting
Kisah aktivitas malware jaringan Yggdrasil peretas Rusia, sebagaimana dilaporkan oleh ESET, bukanlah tentang satu alat tunggal melainkan tentang sebuah pola: penyerang menggunakan kembali infrastruktur privasi yang sah untuk bersembunyi. Jaga perangkat lunak Anda tetap ditambal, berhati-hatilah terhadap apa yang berjalan di perangkat Anda, dan pahami bahwa baik alat privasi maupun kerentanan perangkat lunak dapat dieksploitasi oleh kelompok yang terkait dengan negara. Untuk melihat bagaimana sisi kerentanan berlangsung, baca liputan kami tentang zero-day Zimbra dan jaga pertahanan Anda tetap berlapis.
