ESET har rapportert at russisk-tilknyttede hackere brukte Yggdrasil-nettverket for å skjule ondsinnet aktivitet under et angrep på et ukrainsk kornfirma. Funnet er en nyttig påminnelse om at Yggdrasil-nettverket skadevare russiske hackere-kampanjer ikke bare er avhengige av eksotiske verktøy. De kan også låne legitim personvern- og nettverksteknologi for å smelte inn.
Kildereportasjen er kort, så dette innlegget holder seg til det som er bekreftet og forklarer den bredere konteksten nøye.
Hva ESET fant i angrepet på det ukrainske kornfirmaet
Ifølge ESET brukte hackere knyttet til Russland Yggdrasil-nettverket for å skjule skadevare under et angrep på et ukrainsk kornfirma. Separat dekning beskriver Yggdrasil som et nettverk drevet av frivillige, og sier det ble brukt til å skjule kommunikasjon i et angrep på en ukrainsk kornlogistikkvirksomhet.
Den tilgjengelige rapporteringen gir ikke flere tekniske detaljer, som hvordan angriperne først fikk tilgang, hvilke skadevarefamilier som var involvert, eller hva den tiltenkte skaden var. Vi kommer ikke til å gjette på disse punktene. Det som er klart, er mønsteret: angriperne valgte et kryptert overleggsnettverk som skjulested for trafikken sin.
Hvordan Yggdrasil hjalp angripere med å skjule trafikken sin
Yggdrasil er et kryptert overleggsnettverk. Enkelt sagt lager det et nettverk på toppen av det vanlige internettet, der deltakere kobler seg til hverandre gjennom peers og får adresser inne i dette overlegget. Fordi det drives av frivillige og er desentralisert, er det ikke ett enkelt selskap som drifter det som enkelt kan bes om å blokkere eller logge aktivitet.
For en angriper er det attraktivt for command-and-control, kommunikasjonskanalen mellom skadevare på en offermaskin og personene som kontrollerer den. Hvis infiserte systemer snakker med kontrollere gjennom et overleggsnettverk, kan trafikken se annerledes ut enn tilkoblinger til en kjent ondsinnet server. Forsvarere som er avhengige av blokklister over mistenkelige IP-adresser og domener, kan ha mindre å jobbe med, siden destinasjonen ikke er en vanlig hostingleverandør.
Dette betyr ikke at nettverket i seg selv er ondsinnet. Det betyr at et nøytralt verktøy kan rettes mot et skadelig mål.
Hvorfor anonymitetsverktøy er dobbeltbruk, og hva det betyr for VPN-brukere
Personvernteknologi fungerer ved å skjule hvem som snakker med hvem og hva de sier. Den fordelen gjelder like mye for en journalist som beskytter en kilde som for en angriper som beskytter en server. Det samme gjelder VPN-er, Tor og overleggsnettverk som Yggdrasil.
Denne dobbeltbruk-virkeligheten er viktig fordi den former politiske debatter. Regjeringer som ønsker å begrense anonymitetsverktøy, peker ofte på kriminell misbruk. Vi har sett press på personvernverktøy andre steder, som presset i Russland beskrevet i vår gjennomgang av Russlands VPN-avgift og prisen for personvern. ESET-funnet er en påminnelse om at misbruk eksisterer, men det er ikke et argument for at vanlige brukere bør gi opp kryptering.
Hva dette betyr for deg
For vanlige brukere av VPN og personvernverktøy signaliserer denne rapporten ingen ny risiko for din egen tilkobling. Ingenting i kilden tyder på at Yggdrasil-brukere eller VPN-kunder ble rammet. De praktiske lærdommene handler mer om perspektiv:
- Personvernverktøy er ikke trusselen. Angrepet lyktes fordi kornfirmaet ble kompromittert, ikke fordi et kryptert nettverk eksisterer.
- Forvent mer gransking. Nettverksadministratorer kan begynne å flagge eller blokkere overleggsnettverkstrafikk på bedriftsnettverk, så du kan oppleve restriksjoner på jobb eller skole.
- Dine egne enheter betyr fortsatt noe. Skadevare på maskinen din kan bruke hvilken som helst kanal til å ringe hjem. Å holde programvare oppdatert og unngå ukjente vedlegg beskytter deg uansett hvilket nettverk angriperen bruker.
Hva forsvarere kan gjøre med misbruk av overleggsnettverk
Organisasjoner, spesielt de innen logistikk, landbruk og andre forsyningskjedésektorer, kan ta fornuftige grep uten å forby personvernteknologi overalt:
- Vit hvordan normalt ser ut. Etabler en baseline for utgående trafikk slik at uvanlige peer-to-peer- eller overleggstilkoblinger skiller seg ut.
- Begrens som standard. Hvis en virksomhet ikke har noen grunn til å kjøre overleggsnettverk på servere eller arbeidsstasjoner, kan egress-filtrering blokkere dem.
- Overvåk endepunkter, ikke bare periferien. Når nettverkstrafikk er vanskelig å inspisere, kan endepunktsdeteksjon fortsatt oppdage mistenkelige prosesser.
- Lapp hurtig. Innledende tilgang kommer ofte gjennom programvaresårbarheter, noe som leder til neste punkt.
Russisk-tilknyttede aktører har en tendens til å kombinere skjult infrastruktur med utnyttede sårbarheter. Vår rapport om hvordan russiske spioner brukte en Zimbra zero-day for å stjele 2FA-koder viser den andre halvdelen av dette håndverket. Insider- og personalrisiko betyr også noe, som diskutert i vår veiledning for vurdering av insider-trussel.
Viktige punkter
Historien om Yggdrasil-nettverket skadevare russiske hackere-aktivitet, som rapportert av ESET, handler mindre om et enkelt verktøy og mer om et mønster: angripere gjenbruker legitim personverninfrastruktur for å skjule seg. Hold programvaren oppdatert, vær forsiktig med hva som kjører på enhetene dine, og forstå at både personvernverktøy og programvaresårbarheter kan utnyttes av stats-tilknyttede grupper. For å se hvordan sårbarhetssiden utspiller seg, les vår dekning av Zimbra zero-day og hold forsvaret lagdelt.
