A ESET relatou que hackers ligados à Rússia usaram a rede Yggdrasil para ocultar atividades maliciosas durante um ataque a uma empresa ucraniana de grãos. A descoberta é um lembrete útil de que Yggdrasil network malware Russian hackers as campanhas não dependem apenas de ferramentas exóticas. Elas também podem tomar emprestada tecnologia legítima de privacidade e de redes para se misturar.
A reportagem da fonte é breve, então este post se atém ao que foi confirmado e explica o contexto mais amplo com cuidado.
O que a ESET encontrou no ataque à empresa ucraniana de grãos
Segundo a ESET, hackers ligados à Rússia usaram a rede Yggdrasil para esconder malware durante um ataque a uma empresa ucraniana de grãos. Coberturas separadas descrevem a Yggdrasil como uma rede mantida por voluntários e afirmam que ela foi usada para ocultar comunicações em um ataque a uma empresa ucraniana de logística de grãos.
A reportagem disponível não fornece mais detalhes técnicos, como a forma pela qual os atacantes obtiveram acesso inicialmente, quais famílias de malware estavam envolvidas ou qual era o dano pretendido. Não vamos especular sobre esses pontos. O que está claro é o padrão: os atacantes escolheram uma rede de sobreposição criptografada como esconderijo para o seu tráfego.
Como a Yggdrasil ajudou os atacantes a esconder seu tráfego
A Yggdrasil é uma rede de sobreposição criptografada. Em termos simples, ela cria uma rede por cima da internet comum, na qual os participantes se conectam uns aos outros por meio de pares e recebem endereços dentro dessa sobreposição. Como é mantida por voluntários e é descentralizada, não há uma única empresa operando-a que possa ser facilmente solicitada a bloquear ou registrar atividades.
Para um atacante, isso é atraente para comando e controle, o canal de comunicação entre o malware em uma máquina vítima e as pessoas que o controlam. Se sistemas infectados se comunicam com controladores por meio de uma rede de sobreposição, o tráfego pode parecer diferente de conexões a um servidor malicioso conhecido. Defensores que dependem de listas de bloqueio de endereços IP e domínios suspeitos podem ter menos com o que trabalhar, já que o destino não é um provedor de hospedagem convencional.
Isso não significa que a rede em si seja maliciosa. Significa que uma ferramenta neutra pode ser apontada para um objetivo prejudicial.
Por que ferramentas de anonimato são de uso duplo, e o que isso significa para usuários de VPN
A tecnologia de privacidade funciona ocultando quem está falando com quem e o que estão dizendo. Esse benefício se aplica igualmente a um jornalista protegendo uma fonte e a um atacante protegendo um servidor. O mesmo vale para VPNs, Tor e redes de sobreposição como a Yggdrasil.
Essa realidade de uso duplo importa porque molda debates políticos. Governos que querem restringir ferramentas de anonimato frequentemente apontam o uso criminoso. Vimos pressão sobre ferramentas de privacidade em outros lugares, como a pressão na Rússia descrita em nossa análise sobre o imposto russo sobre VPN e o custo da privacidade. A descoberta da ESET é um lembrete de que o uso indevido existe, mas não é um argumento para que usuários comuns abandonem a criptografia.
O que isso significa para você
Para usuários cotidianos de VPN e ferramentas de privacidade, este relatório não sinaliza nenhum novo risco para a sua própria conexão. Nada na fonte sugere que usuários da Yggdrasil ou clientes de VPN tenham sido afetados. As conclusões práticas são mais sobre perspectiva:
- Ferramentas de privacidade não são a ameaça. O ataque teve sucesso porque a empresa de grãos foi comprometida, não porque uma rede criptografada existe.
- Espere mais escrutínio. Administradores de rede podem começar a sinalizar ou bloquear tráfego de redes de sobreposição em redes corporativas, então você pode ver restrições no trabalho ou na escola.
- Seus próprios dispositivos ainda importam. Malware na sua máquina pode usar qualquer canal para se comunicar com seu controlador. Manter o software atualizado e evitar anexos desconhecidos protege você independentemente de qual rede o atacante use.
O que defensores podem fazer sobre o abuso de redes de sobreposição
Organizações, especialmente as dos setores de logística, agricultura e outras cadeias de suprimentos, podem tomar medidas sensatas sem banir a tecnologia de privacidade em todos os lugares:
- Saiba como é o normal. Estabeleça uma linha de base do tráfego de saída para que conexões peer-to-peer ou de sobreposição incomuns se destaquem.
- Restrinja por padrão. Se uma empresa não tem motivo para executar redes de sobreposição em servidores ou estações de trabalho, a filtragem de saída pode bloqueá-las.
- Monitore endpoints, não apenas o perímetro. Quando o tráfego de rede é difícil de inspecionar, a detecção em endpoints ainda pode identificar processos suspeitos.
- Aplique patches rapidamente. O acesso inicial frequentemente vem por falhas de software, o que leva ao próximo ponto.
Atores ligados à Rússia tendem a combinar infraestrutura oculta com vulnerabilidades exploradas. Nosso relatório sobre como espiões russos usaram um zero-day do Zimbra para roubar códigos 2FA mostra a outra metade dessa técnica. Riscos de insiders e de pessoal também importam, como discutido em nosso guia de triagem de ameaças internas.
Principais conclusões
A história da atividade de Yggdrasil network malware Russian hackers, conforme relatado pela ESET, é menos sobre uma única ferramenta e mais sobre um padrão: atacantes reutilizam infraestrutura legítima de privacidade para se esconder. Mantenha seu software com patches, seja cauteloso com o que é executado nos seus dispositivos e entenda que tanto ferramentas de privacidade quanto vulnerabilidades de software podem ser exploradas por grupos ligados a Estados. Para ver como o lado da vulnerabilidade se desenrola, leia nossa cobertura do zero-day do Zimbra e mantenha suas defesas em camadas.
