ESET poinformował, że powiązani z Rosją hakerzy wykorzystali sieć Yggdrasil do ukrycia złośliwej aktywności podczas ataku na ukraińską firmę zbożową. To odkrycie jest przydatnym przypomnieniem, że kampanie Yggdrasil network malware Russian hackers nie opierają się wyłącznie na egzotycznych narzędziach. Mogą także wykorzystywać legalną technologię prywatności i sieciową, aby wtopić się w tło.
Źródłowy materiał jest zwięzły, więc ten artykuł ogranicza się do tego, co zostało potwierdzone, i ostrożnie wyjaśnia szerszy kontekst.
Co ESET znalazł w ataku na ukraińską firmę zbożową
Według ESET hakerzy powiązani z Rosją wykorzystali sieć Yggdrasil do ukrycia złośliwego oprogramowania podczas ataku na ukraińską firmę zbożową. Osobne doniesienia opisują Yggdrasil jako sieć prowadzoną przez wolontariuszy i podają, że została wykorzystana do ukrycia komunikacji w ataku na ukraiński biznes logistyki zbożowej.
Dostępne doniesienia nie podają dalszych szczegółów technicznych, takich jak sposób, w jaki napastnicy uzyskali początkowy dostęp, jakie rodziny złośliwego oprogramowania były zaangażowane, ani jaki był zamierzony skutek. Nie będziemy tego zgadywać. Jasny jest natomiast schemat: napastnicy wybrali szyfrowaną sieć nakładkową jako kryjówkę dla swojego ruchu.
Jak Yggdrasil pomógł napastnikom ukryć ruch
Yggdrasil to szyfrowana sieć nakładkowa. Mówiąc prosto, tworzy ona sieć na szczycie zwykłego internetu, w której uczestnicy łączą się ze sobą poprzez peerów i otrzymują adresy wewnątrz tej nakładki. Ponieważ jest prowadzona przez wolontariuszy i zdecentralizowana, nie ma jednej firmy, która nią zarządza i do której można łatwo zwrócić się o zablokowanie lub rejestrowanie aktywności.
Dla napastnika jest to atrakcyjne dla command-and-control, kanału komunikacji między złośliwym oprogramowaniem na maszynie ofiary a osobami, które je kontrolują. Jeśli zainfekowane systemy komunikują się z kontrolerami przez sieć nakładkową, ruch może wyglądać inaczej niż połączenia do znanego złośliwego serwera. Obrońcy, którzy polegają na listach blokowanych podejrzanych adresów IP i domen, mogą mieć mniej materiału do analizy, ponieważ miejsce docelowe nie jest konwencjonalnym dostawcą hostingu.
Nie oznacza to, że sama sieć jest złośliwa. Oznacza to, że neutralne narzędzie można skierować ku szkodliwemu celowi.
Dlaczego narzędzia anonimowości są podwójnego zastosowania i co to oznacza dla użytkowników VPN
Technologia prywatności działa poprzez ukrywanie, kto z kim rozmawia i co mówi. Ta korzyść dotyczy w równym stopniu dziennikarza chroniącego źródło, jak i napastnika chroniącego serwer. To samo dotyczy VPN-ów, Tora i sieci nakładkowych takich jak Yggdrasil.
Ta rzeczywistość podwójnego zastosowania ma znaczenie, ponieważ kształtuje debaty polityczne. Rządy, które chcą ograniczać narzędzia anonimowości, często wskazują na ich przestępcze wykorzystanie. Widzieliśmy presję na narzędzia prywatności w innych miejscach, taką jak naciski w Rosji opisane w naszym artykule o rosyjskim podatku od VPN i koszcie prywatności. Odkrycie ESET przypomina, że nadużycia istnieją, ale nie jest argumentem, że zwykli użytkownicy powinni zrezygnować z szyfrowania.
Co to oznacza dla Ciebie
Dla codziennych użytkowników VPN i narzędzi prywatności ten raport nie sygnalizuje żadnego nowego ryzyka dla Twojego własnego połączenia. Nic w źródle nie sugeruje, że użytkownicy Yggdrasil lub klienci VPN zostali dotknięci. Praktyczne wnioski dotyczą bardziej perspektywy:
- Narzędzia prywatności nie są zagrożeniem. Atak się powiódł, ponieważ firma zbożowa została przejęta, a nie dlatego, że istnieje szyfrowana sieć.
- Spodziewaj się większej kontroli. Administratorzy sieci mogą zacząć oznaczanie lub blokowanie ruchu sieci nakładkowych w sieciach korporacyjnych, więc możesz napotkać ograniczenia w pracy lub szkole.
- Twoje własne urządzenia wciąż mają znaczenie. Złośliwe oprogramowanie na Twojej maszynie może używać dowolnego kanału do łączenia się z serwerem. Aktualizowanie oprogramowania i unikanie nieznanych załączników chroni Cię niezależnie od tego, z której sieci korzysta napastnik.
Co obrońcy mogą zrobić w sprawie nadużywania sieci nakładkowych
Organizacje, zwłaszcza te w sektorze logistyki, rolnictwa i innych sektorach łańcucha dostaw, mogą podjąć rozsądne kroki bez zakazywania technologii prywatności wszędzie:
- Wiedz, jak wygląda normalny ruch. Ustal punkt odniesienia dla ruchu wychodzącego, aby nietypowe połączenia peer-to-peer lub nakładkowe się wyróżniały.
- Ograniczaj domyślnie. Jeśli firma nie ma powodu do uruchamiania sieci nakładkowych na serwerach lub stacjach roboczych, filtrowanie ruchu wychodzącego może je zablokować.
- Monitoruj punkty końcowe, nie tylko obwód. Gdy ruch sieciowy jest trudny do zbadania, wykrywanie na punktach końcowych wciąż może wychwycić podejrzane procesy.
- Łataj szybko. Początkowy dostęp często następuje przez luki w oprogramowaniu, co prowadzi do następnego punktu.
Powiązani z Rosją aktorzy mają tendencję do łączenia ukrytej infrastruktury z wykorzystywanymi lukami. Nasz raport o tym, jak rosyjscy szpiedzy wykorzystali zero-day w Zimbra do kradzieży kodów 2FA, pokazuje drugą połowę tej praktyki. Znaczenie mają także ryzyka związane z insiderami i personelem, omówione w naszym przewodniku po weryfikacji zagrożeń wewnętrznych.
Najważniejsze wnioski
Historia aktywności Yggdrasil network malware Russian hackers, zgodnie z raportem ESET, dotyczy mniej pojedynczego narzędzia, a bardziej schematu: napastnicy ponownie wykorzystują legalną infrastrukturę prywatności do ukrycia się. Aktualizuj oprogramowanie, zachowuj ostrożność wobec tego, co działa na Twoich urządzeniach, i rozumiej, że zarówno narzędzia prywatności, jak i luki w oprogramowaniu mogą być wykorzystywane przez grupy powiązane z państwami. Aby zobaczyć, jak wygląda strona luk w zabezpieczeniach, przeczytaj nasz materiał o zero-day w Zimbra i utrzymuj wielowarstwowe zabezpieczenia.
