ESETは、ロシアと関連のあるハッカーがウクライナの穀物会社への攻撃中に悪意ある活動を隠蔽するためにYggdrasilネットワークを使用したと報告した。この発見は、Yggdrasilネットワークのマルウェアとロシアのハッカーによるキャンペーンが特殊なツールだけに依存しているわけではないことを思い起こさせる有用な事例である。彼らは正規のプライバシー技術やネットワーク技術を借用して溶け込むこともできる。

情報源の報道は簡潔であるため、この記事は確認された事実にとどめ、より広い文脈を慎重に説明する。

ESETがウクライナの穀物会社への攻撃で発見したもの

ESETによると、ロシアと関連のあるハッカーはウクライナの穀物会社への攻撃中にマルウェアを隠蔽するためにYggdrasilネットワークを使用した。別の報道では、Yggdrasilをボランティア運営のネットワークと表現し、ウクライナの穀物物流企業への攻撃において通信を隠蔽するために使用されたと述べている。

入手可能な報道では、攻撃者が最初にどのようにアクセスを獲得したのか、どのマルウェアファミリーが関与していたのか、意図された被害が何であったのかといった技術的な詳細は提供されていない。これらの点について推測するつもりはない。明確なのはそのパターンである。攻撃者は暗号化されたオーバーレイネットワークを通信の隠れ場所として選んだのだ。

Yggdrasilが攻撃者の通信隠蔽をどのように助けたか

Yggdrasilは暗号化されたオーバーレイネットワークである。簡単に言えば、通常のインターネットの上にネットワークを構築し、参加者はピアを通じて互いに接続し、そのオーバーレイ内でアドレスを取得する。ボランティアによって運営され、分散化されているため、活動をブロックしたり記録したりするよう簡単に依頼できる単一の運営企業は存在しない。

攻撃者にとって、これはコマンド・アンド・コントロール、つまり被害者のマシン上のマルウェアとそれを制御する者との間の通信チャネルにとって魅力的である。感染したシステムがオーバーレイネットワークを通じてコントローラーと通信する場合、その通信は既知の悪意あるサーバーへの接続とは異なって見える可能性がある。宛先が従来のホスティングプロバイダーではないため、疑わしいIPアドレスやドメインのブロックリストに依存する防御側は利用できる手がかりが少なくなる可能性がある。

これはネットワーク自体が悪意あるものだという意味ではない。中立なツールが有害な目的に向けられ得るという意味である。

匿名化ツールがデュアルユースである理由、そしてそれがVPNユーザーにとって何を意味するか

プライバシー技術は、誰が誰と話しているか、何を言っているかを隠すことによって機能する。その利点は、情報源を保護するジャーナリストにも、サーバーを保護する攻撃者にも等しく当てはまる。VPN、Tor、そしてYggdrasilのようなオーバーレイネットワークについても同様である。

このデュアルユースの現実は、政策論争を形作るため重要である。匿名化ツールを制限したい政府は、しばしば犯罪的な悪用を指摘する。我々は他の場所でもプライバシーツールへの圧力を目にしてきた。例えば、ロシアのVPN税とプライバシーのコストに関する記事で説明したロシアでの推進などである。ESETの発見は悪用が存在することを思い起こさせるが、それは一般ユーザーが暗号化を諦めるべきだという論拠にはならない。

これがあなたにとって何を意味するか

日常的にVPNやプライバシーツールを使用するユーザーにとって、この報告はあなた自身の接続に対する新たなリスクを示すものではない。情報源の中に、YggdrasilのユーザーやVPN顧客が影響を受けたことを示唆するものは何もない。実用的な要点はより視点に関するものである。

  • プライバシーツールは脅威ではない。 攻撃が成功したのは穀物会社が侵害されたためであり、暗号化されたネットワークが存在するためではない。
  • より厳しい監視を予想せよ。 ネットワーク管理者は企業ネットワーク上でオーバーレイネットワークの通信にフラグを立てたりブロックしたりし始める可能性があるため、職場や学校で制限が見られるかもしれない。
  • あなた自身のデバイスは依然として重要である。 あなたのマシン上のマルウェアはあらゆるチャネルを使用して通信することができる。ソフトウェアを最新の状態に保ち、不明な添付ファイルを避けることで、攻撃者がどのネットワークを使用するかに関係なくあなたを保護できる。

防御側がオーバーレイネットワークの悪用に対してできること

組織、特に物流、農業、その他のサプライチェーンセクターの組織は、どこでもプライバシー技術を禁止することなく、賢明な措置を講じることができる。

  1. 正常な状態を知る。 異常なピアツーピア接続やオーバーレイ接続が目立つように、外向き通信のベースラインを把握する。
  2. デフォルトで制限する。 企業がサーバーやワークステーションでオーバーレイネットワークを実行する理由がない場合、外向きフィルタリングでブロックできる。
  3. 境界だけでなくエンドポイントを監視する。 ネットワーク通信の検査が困難な場合でも、エンドポイント検出は疑わしいプロセスを発見できる。
  4. 迅速にパッチを適用する。 初期アクセスはしばしばソフトウェアの欠陥を通じて行われる。これが次の点につながる。

ロシアと関連のあるアクターは、隠されたインフラと悪用された脆弱性を組み合わせる傾向がある。ロシアのスパイがZimbraのゼロデイを使用して2FAコードを窃取した方法に関する我々の報告は、その手口のもう半分を示している。インサイダーや人員のリスクも重要であり、インサイダー脅威の審査ガイドで論じている。

主な要点

ESETが報告したYggdrasilネットワークのマルウェアとロシアのハッカーの活動の話は、単一のツールについてというよりも、パターンについてである。攻撃者は隠れるために正規のプライバシーインフラを再利用する。ソフトウェアにパッチを適用し続け、デバイス上で何が実行されるかに注意し、プライバシーツールとソフトウェアの脆弱性の両方が国家関連グループによって悪用され得ることを理解しておこう。脆弱性の側面がどのように展開するかを知るには、Zimbraのゼロデイに関する我々の報道を読み、防御を多層化しておこう。