ESET сообщила, что связанные с Россией хакеры использовали сеть Yggdrasil для сокрытия вредоносной активности во время атаки на украинскую зерновую компанию. Эта находка — полезное напоминание о том, что кампании Yggdrasil network malware Russian hackers не полагаются на одни лишь экзотические инструменты. Они также могут заимствовать легитимные технологии приватности и сетевого взаимодействия, чтобы сливаться с окружением.
Исходный материал краток, поэтому в этом посте мы придерживаемся только подтверждённых фактов и осторожно объясняем более широкий контекст.
Что ESET обнаружила при атаке на украинскую зерновую компанию
По данным ESET, связанные с Россией хакеры использовали сеть Yggdrasil для сокрытия вредоносного ПО во время атаки на украинскую зерновую компанию. В отдельных публикациях Yggdrasil описывается как сеть, управляемая волонтёрами, и говорится, что она использовалась для сокрытия коммуникаций при атаке на украинский бизнес в сфере зерновой логистики.
Доступные материалы не приводят дальнейших технических подробностей: как именно злоумышленники получили первоначальный доступ, какие семейства вредоносного ПО использовались или каким был предполагаемый ущерб. Мы не будем строить догадки по этим пунктам. Очевиден сам паттерн: атакующие выбрали зашифрованную оверлейную сеть в качестве укрытия для своего трафика.
Как Yggdrasil помогла атакующим скрыть свой трафик
Yggdrasil — это зашифрованная оверлейная сеть. Проще говоря, она создаёт сеть поверх обычного интернета, где участники соединяются друг с другом через пиров и получают адреса внутри этой оверлейной сети. Поскольку она управляется волонтёрами и децентрализована, не существует единой компании-оператора, которую можно было бы легко попросить заблокировать активность или вести её журнал.
Для атакующего это привлекательно для командного управления и контроля (C2) — канала связи между вредоносным ПО на машине жертвы и людьми, которые им управляют. Если заражённые системы общаются с контроллерами через оверлейную сеть, трафик может выглядеть иначе, чем подключения к известному вредоносному серверу. Защитникам, которые полагаются на блок-листы подозрительных IP-адресов и доменов, может быть сложнее работать, поскольку пункт назначения — не обычный хостинг-провайдер.
Это не означает, что сама сеть вредоносна. Это означает, что нейтральный инструмент можно направить на вредоносную цель.
Почему инструменты анонимности двойного назначения, и что это значит для пользователей VPN
Технологии приватности работают, скрывая, кто с кем говорит и что они говорят. Эта выгода в равной степени применима и к журналисту, защищающему источник, и к атакующему, защищающему сервер. То же верно для VPN, Tor и оверлейных сетей вроде Yggdrasil.
Эта реальность двойного назначения важна, потому что она формирует политические дискуссии. Правительства, желающие ограничить инструменты анонимности, часто ссылаются на преступное злоупотребление. Мы видели давление на инструменты приватности и в других местах, например, кампанию в России, описанную в нашем материале о налоге на VPN в России и цене приватности. Находка ESET — напоминание о том, что злоупотребление существует, но это не аргумент в пользу того, чтобы обычные пользователи отказывались от шифрования.
Что это значит для вас
Для повседневных пользователей VPN и инструментов приватности этот отчёт не сигнализирует о каком-либо новом риске для вашего собственного соединения. Ничто в источнике не указывает на то, что пользователи Yggdrasil или клиенты VPN пострадали. Практические выводы скорее касаются перспективы:
- Инструменты приватности — не угроза. Атака удалась потому, что зерновая компания была скомпрометирована, а не потому, что существует зашифрованная сеть.
- Ожидайте большего внимания. Сетевые администраторы могут начать помечать или блокировать трафик оверлейных сетей в корпоративных сетях, поэтому вы можете столкнуться с ограничениями на работе или учёбе.
- Ваши собственные устройства по-прежнему важны. Вредоносное ПО на вашей машине может использовать любой канал для связи с сервером. Обновление программного обеспечения и избегание неизвестных вложений защищают вас независимо от того, какую сеть использует атакующий.
Что могут сделать защитники в отношении злоупотребления оверлейными сетями
Организации, особенно в сфере логистики, сельского хозяйства и других отраслях цепочки поставок, могут предпринять разумные шаги, не запрещая технологии приватности повсеместно:
- Знайте, как выглядит норма. Зафиксируйте базовый уровень исходящего трафика, чтобы необычные пиринговые или оверлейные подключения выделялись.
- Ограничивайте по умолчанию. Если у бизнеса нет причин запускать оверлейные сети на серверах или рабочих станциях, фильтрация исходящего трафика может их блокировать.
- Мониторьте конечные точки, а не только периметр. Когда сетевой трафик трудно инспектировать, обнаружение на конечных точках всё ещё может выявить подозрительные процессы.
- Устанавливайте патчи быстро. Первоначальный доступ часто происходит через уязвимости программного обеспечения, что подводит к следующему пункту.
Связанные с Россией субъекты, как правило, сочетают скрытую инфраструктуру с эксплуатируемыми уязвимостями. Наш отчёт о том, как российские шпионы использовали zero-day в Zimbra для кражи кодов 2FA, показывает вторую половину этой тактики. Риски инсайдеров и персонала также важны, как обсуждается в нашем руководстве по проверке инсайдерских угроз.
Ключевые выводы
История о деятельности Yggdrasil network malware Russian hackers, как сообщает ESET, — это меньше об отдельном инструменте и больше о паттерне: атакующие повторно используют легитимную инфраструктуру приватности для сокрытия. Держите программное обеспечение обновлённым, будьте осторожны с тем, что запускается на ваших устройствах, и понимайте, что как инструменты приватности, так и уязвимости программного обеспечения могут эксплуатироваться связанными с государством группами. Чтобы увидеть, как разворачивается сторона уязвимостей, прочитайте наш материал о zero-day в Zimbra и сохраняйте многоуровневую защиту.
