ESET ha riferito che hacker legati alla Russia hanno utilizzato la rete Yggdrasil per nascondere attività malevole durante un attacco a un'azienda ucraina del settore cerealicolo. La scoperta è un utile promemoria del fatto che le campagne di malware nella rete Yggdrasil da parte di hacker russi non si basano solo su strumenti esotici. Possono anche sfruttare tecnologie legittime per la privacy e il networking per mimetizzarsi.
La fonte che riporta la notizia è sintetica, quindi questo articolo si attiene a ciò che è stato confermato e spiega il contesto più ampio con attenzione.
Cosa ha trovato ESET nell'attacco all'azienda cerealicola ucraina
Secondo ESET, hacker legati alla Russia hanno utilizzato la rete Yggdrasil per nascondere malware durante un attacco a un'azienda ucraina del settore cerealicolo. Una copertura separata descrive Yggdrasil come una rete gestita da volontari e afferma che è stata utilizzata per occultare le comunicazioni in un attacco a un'azienda ucraina di logistica cerealicola.
La documentazione disponibile non fornisce ulteriori dettagli tecnici, come il modo in cui gli attaccanti hanno ottenuto l'accesso iniziale, quali famiglie di malware siano state coinvolte o quale fosse il danno previsto. Non intendiamo avanzare ipotesi su questi punti. Ciò che è chiaro è il pattern: gli attaccanti hanno scelto una rete overlay cifrata come nascondiglio per il loro traffico.
Come Yggdrasil ha aiutato gli attaccanti a nascondere il loro traffico
Yggdrasil è una rete overlay cifrata. In termini semplici, crea una rete sopra l'internet ordinario, in cui i partecipanti si connettono tra loro tramite peer e ricevono indirizzi all'interno di tale overlay. Poiché è gestita da volontari ed è decentralizzata, non esiste un'unica azienda che la gestisce a cui si possa facilmente chiedere di bloccare o registrare l'attività.
Per un attaccante, questo è attraente per il command-and-control, il canale di comunicazione tra il malware su una macchina vittima e coloro che lo controllano. Se i sistemi infetti comunicano con i controller attraverso una rete overlay, il traffico può apparire diverso dalle connessioni a un server malevolo noto. I difensori che si affidano a blocklist di indirizzi IP e domini sospetti possono avere meno elementi su cui lavorare, poiché la destinazione non è un provider di hosting convenzionale.
Questo non significa che la rete stessa sia malevola. Significa che uno strumento neutrale può essere indirizzato verso un obiettivo dannoso.
Perché gli strumenti di anonimato sono a doppio uso, e cosa significa per gli utenti VPN
La tecnologia per la privacy funziona nascondendo chi sta parlando con chi e cosa stanno dicendo. Questo beneficio si applica allo stesso modo a un giornalista che protegge una fonte e a un attaccante che protegge un server. Lo stesso vale per le VPN, Tor e le reti overlay come Yggdrasil.
Questa realtà del doppio uso è importante perché plasma i dibattiti politici. I governi che vogliono limitare gli strumenti di anonimato spesso citano l'uso criminale. Abbiamo visto pressioni sugli strumenti per la privacy altrove, come la spinta in Russia descritta nella nostra analisi della tassa russa sulle VPN e il costo della privacy. La scoperta di ESET è un promemoria del fatto che l'abuso esiste, ma non è un argomento per cui gli utenti ordinari dovrebbero rinunciare alla crittografia.
Cosa significa per te
Per gli utenti quotidiani di VPN e strumenti per la privacy, questo rapporto non segnala alcun nuovo rischio per la propria connessione. Nulla nella fonte suggerisce che gli utenti di Yggdrasil o i clienti VPN siano stati colpiti. Le indicazioni pratiche riguardano più che altro la prospettiva:
- Gli strumenti per la privacy non sono la minaccia. L'attacco è riuscito perché l'azienda cerealicola è stata compromessa, non perché esista una rete cifrata.
- Aspettati maggiore scrutinio. Gli amministratori di rete potrebbero iniziare a segnalare o bloccare il traffico delle reti overlay sulle reti aziendali, quindi potresti vedere restrizioni al lavoro o a scuola.
- I tuoi dispositivi contano comunque. Il malware sulla tua macchina può usare qualsiasi canale per comunicare a casa. Mantenere il software aggiornato ed evitare allegati sconosciuti ti protegge indipendentemente dalla rete utilizzata dall'attaccante.
Cosa possono fare i difensori contro l'abuso delle reti overlay
Le organizzazioni, in particolare quelle nei settori della logistica, dell'agricoltura e di altre filiere, possono adottare misure ragionevoli senza vietare ovunque la tecnologia per la privacy:
- Sapere com'è la normalità. Stabilire una baseline del traffico in uscita in modo che connessioni peer-to-peer o overlay insolite risaltino.
- Limitare per impostazione predefinita. Se un'azienda non ha motivo di eseguire reti overlay su server o workstation, il filtraggio in uscita può bloccarle.
- Monitorare gli endpoint, non solo il perimetro. Quando il traffico di rete è difficile da ispezionare, il rilevamento sugli endpoint può comunque individuare processi sospetti.
- Applicare le patch rapidamente. L'accesso iniziale spesso avviene tramite falle nel software, il che porta al punto successivo.
Gli attori legati alla Russia tendono a combinare infrastrutture nascoste con vulnerabilità sfruttate. Il nostro rapporto su come le spie russe hanno usato uno zero-day di Zimbra per rubare i codici 2FA mostra l'altra metà di questo modus operandi. Anche i rischi interni e legati al personale contano, come discusso nella nostra guida alla verifica delle minacce interne.
Punti chiave
La storia dell'attività di malware nella rete Yggdrasil da parte di hacker russi, come riportato da ESET, riguarda meno un singolo strumento e più un pattern: gli attaccanti riutilizzano infrastrutture legittime per la privacy per nascondersi. Mantieni il software aggiornato, presta attenzione a ciò che viene eseguito sui tuoi dispositivi e comprendi che sia gli strumenti per la privacy sia le vulnerabilità del software possono essere sfruttati da gruppi legati a Stati. Per vedere come si manifesta il lato delle vulnerabilità, leggi la nostra copertura dello zero-day di Zimbra e mantieni le tue difese a più livelli.
