ESET a raportat că hackeri cu legături în Rusia au folosit rețeaua Yggdrasil pentru a ascunde activități malițioase în timpul unui atac asupra unei companii ucrainene de cereale. Descoperirea este un memento util că malware în rețeaua Yggdrasil, hackeri ruși campaniile nu se bazează doar pe instrumente exotice. Ele pot împrumuta, de asemenea, tehnologii legitime de confidențialitate și rețelistică pentru a se camufla.
Relatarea sursă este scurtă, așa că această postare se limitează la ceea ce a fost confirmat și explică contextul mai larg cu atenție.
Ce a descoperit ESET în atacul asupra companiei ucrainene de cereale
Potrivit ESET, hackerii cu legături în Rusia au folosit rețeaua Yggdrasil pentru a ascunde malware în timpul unui atac asupra unei companii ucrainene de cereale. O altă relatare descrie Yggdrasil ca o rețea administrată de voluntari și spune că a fost folosită pentru a ascunde comunicațiile într-un atac asupra unei afaceri ucrainene de logistică a cerealelor.
Relatarea disponibilă nu oferă detalii tehnice suplimentare, cum ar fi modul în care atacatorii au obținut accesul inițial, ce familii de malware au fost implicate sau care a fost daunele vizate. Nu vom face speculații pe aceste puncte. Ceea ce este clar este tiparul: atacatorii au ales o rețea suprapusă criptată ca loc de ascundere pentru traficul lor.
Cum i-a ajutat Yggdrasil pe atacatori să-și ascundă traficul
Yggdrasil este o rețea suprapusă criptată. În termeni simpli, creează o rețea deasupra internetului obișnuit, unde participanții se conectează unii la alții prin intermediul unor peers și primesc adrese în interiorul acelei rețele suprapuse. Deoarece este administrată de voluntari și este descentralizată, nu există o singură companie care o operează și care să poată fi ușor rugată să blocheze sau să înregistreze activitatea.
Pentru un atacator, acest lucru este atractiv pentru command-and-control, canalul de comunicare dintre malware-ul de pe o mașină victimă și persoanele care îl controlează. Dacă sistemele infectate comunică cu controlorii prin intermediul unei rețele suprapuse, traficul poate arăta diferit față de conexiunile către un server malițios cunoscut. Apărătorii care se bazează pe liste de blocare cu adrese IP și domenii suspecte pot avea mai puțin cu ce să lucreze, deoarece destinația nu este un furnizor de găzduire convențional.
Aceasta nu înseamnă că rețeaua în sine este malițioasă. Înseamnă că un instrument neutru poate fi îndreptat către un scop dăunător.
De ce instrumentele de anonimat au dublă utilizare și ce înseamnă asta pentru utilizatorii de VPN
Tehnologia de confidențialitate funcționează prin ascunderea cine vorbește cu cine și ce spun. Acest beneficiu se aplică în mod egal unui jurnalist care își protejează o sursă și unui atacator care își protejează un server. Același lucru este valabil pentru VPN-uri, Tor și rețele suprapuse precum Yggdrasil.
Această realitate a dublei utilizări contează pentru că modelează dezbaterile politice. Guvernele care vor să restricționeze instrumentele de anonimat invocă adesea utilizarea abuzivă criminală. Am văzut presiuni asupra instrumentelor de confidențialitate și în alte părți, cum ar fi presiunea din Rusia descrisă în analiza noastră despre taxa VPN din Rusia și costul confidențialității. Descoperirea ESET este un memento că abuzul există, dar nu este un argument pentru ca utilizatorii obișnuiți să renunțe la criptare.
Ce înseamnă asta pentru tine
Pentru utilizatorii de zi cu zi ai VPN-urilor și instrumentelor de confidențialitate, acest raport nu semnalează niciun risc nou pentru propria conexiune. Nimic din sursă nu sugerează că utilizatorii Yggdrasil sau clienții VPN ar fi fost afectați. Concluziile practice țin mai degrabă de perspectivă:
- Instrumentele de confidențialitate nu sunt amenințarea. Atacul a reușit pentru că firma de cereale a fost compromisă, nu pentru că există o rețea criptată.
- Așteaptă-te la mai multă scrutare. Administratorii de rețea pot începe să semnaleze sau să blocheze traficul rețelelor suprapuse pe rețelele corporative, așa că s-ar putea să vezi restricții la muncă sau la școală.
- Dispozitivele tale contează în continuare. Malware-ul de pe mașina ta poate folosi orice canal pentru a comunica cu casa. Menținerea software-ului actualizat și evitarea atașamentelor necunoscute te protejează indiferent de rețeaua pe care o folosește atacatorul.
Ce pot face apărătorii împotriva abuzului rețelelor suprapuse
Organizațiile, în special cele din logistică, agricultură și alte sectoare din lanțul de aprovizionare, pot lua măsuri rezonabile fără a interzice tehnologia de confidențialitate peste tot:
- Cunoaște cum arată normalul. Stabilește o linie de bază a traficului de ieșire, astfel încât conexiunile peer-to-peer sau suprapuse neobișnuite să iasă în evidență.
- Restricționează implicit. Dacă o afacere nu are niciun motiv să ruleze rețele suprapuse pe servere sau stații de lucru, filtrarea traficului de ieșire le poate bloca.
- Monitorizează endpoint-urile, nu doar perimetrul. Când traficul de rețea este greu de inspectat, detectarea la nivel de endpoint poate totuși identifica procese suspecte.
- Aplică patch-uri rapid. Accesul inițial vine adesea prin vulnerabilități de software, ceea ce duce la următorul punct.
Actorii cu legături în Rusia tind să combine infrastructură ascunsă cu vulnerabilități exploatate. Raportul nostru despre cum spionii ruși au folosit un zero-day Zimbra pentru a fura coduri 2FA arată cealaltă jumătate a acestei tehnici. Riscurile legate de persoane din interior și de personal contează de asemenea, așa cum se discută în ghidul nostru de verificare a amenințărilor din interior.
Concluzii cheie
Povestea activității malware în rețeaua Yggdrasil, hackeri ruși, așa cum a fost raportată de ESET, este mai puțin despre un singur instrument și mai mult despre un tipar: atacatorii refolosesc infrastructură legitimă de confidențialitate pentru a se ascunde. Menține-ți software-ul actualizat, fii precaut cu privire la ce rulează pe dispozitivele tale și înțelege că atât instrumentele de confidențialitate, cât și vulnerabilitățile de software pot fi exploatate de grupuri cu legături statale. Pentru a vedea cum se manifestă latura vulnerabilităților, citește relatarea noastră despre zero-day-ul Zimbra și menține-ți apărarea în straturi.
