ESET har rapporterat att ryskt länkade hackare använde Yggdrasil-nätverket för att dölja skadlig aktivitet under en attack mot ett ukrainskt spannmålsföretag. Fyndet är en användbar påminnelse om att kampanjer med Yggdrasil-nätverket skadlig kod ryska hackare inte enbart förlitar sig på exotiska verktyg. De kan också låna legitim integritets- och nätverksteknik för att smälta in.
Källrapporteringen är kortfattad, så det här inlägget håller sig till det som har bekräftats och förklarar den bredare kontexten noggrant.
Vad ESET hittade i attacken mot det ukrainska spannmålsföretaget
Enligt ESET använde hackare med koppling till Ryssland Yggdrasil-nätverket för att gömma skadlig kod under en attack mot ett ukrainskt spannmålsföretag. Separat rapportering beskriver Yggdrasil som ett volontärdrivet nätverk och uppger att det användes för att dölja kommunikation i en attack mot ett ukrainskt spannmålslogistikföretag.
Den tillgängliga rapporteringen ger inte fler tekniska detaljer, såsom hur angriparna först fick åtkomst, vilka skadlig kod-familjer som var inblandade eller vad den avsedda skadan var. Vi tänker inte gissa oss till dessa punkter. Det som är tydligt är mönstret: angriparna valde ett krypterat overlay-nätverk som gömställe för sin trafik.
Hur Yggdrasil hjälpte angriparna att dölja sin trafik
Yggdrasil är ett krypterat overlay-nätverk. Enkelt uttryckt skapar det ett nätverk ovanpå det vanliga internet, där deltagare ansluter till varandra genom peers och får adresser inom overlayen. Eftersom det drivs av volontärer och är decentraliserat finns det inget enskilt företag som driver det som enkelt kan ombes blockera eller logga aktivitet.
För en angripare är det attraktivt för command-and-control, kommunikationskanalen mellan skadlig kod på en offermaskin och de som kontrollerar den. Om infekterade system kommunicerar med kontrollanter genom ett overlay-nätverk kan trafiken se annorlunda ut än anslutningar till en känd skadlig server. Försvarare som förlitar sig på blockeringslistor över misstänkta IP-adresser och domäner kan ha mindre att arbeta med, eftersom destinationen inte är en konventionell hostingleverantör.
Det betyder inte att nätverket i sig är skadligt. Det betyder att ett neutralt verktyg kan riktas mot ett skadligt mål.
Varför anonymitetsverktyg är dual-use, och vad det innebär för VPN-användare
Integritetsteknik fungerar genom att dölja vem som pratar med vem och vad de säger. Den fördelen gäller lika mycket för en journalist som skyddar en källa som för en angripare som skyddar en server. Detsamma gäller VPN:er, Tor och overlay-nätverk som Yggdrasil.
Denna dual-use-verklighet spelar roll eftersom den formar policydiskussioner. Regeringar som vill begränsa anonymitetsverktyg pekar ofta på kriminell missbruk. Vi har sett press på integritetsverktyg på andra håll, såsom påtryckningarna i Ryssland som beskrivs i vår genomgång av Rysslands VPN-skatt och priset för integritet. ESET:s fynd är en påminnelse om att missbruk existerar, men det är inte ett argument för att vanliga användare bör ge upp kryptering.
Vad detta innebär för dig
För vardagliga användare av VPN och integritetsverktyg signalerar denna rapport ingen ny risk för din egen anslutning. Inget i källan tyder på att Yggdrasil-användare eller VPN-kunder påverkades. De praktiska lärdomarna handlar mer om perspektiv:
- Integritetsverktyg är inte hotet. Attacken lyckades eftersom spannmålsföretaget komprometterades, inte för att ett krypterat nätverk existerar.
- Förvänta dig mer granskning. Nätverksadministratörer kan börja flagga eller blockera overlay-nätverkstrafik i företagsnätverk, så du kan se begränsningar på jobbet eller i skolan.
- Dina egna enheter spelar fortfarande roll. Skadlig kod på din maskin kan använda vilken kanal som helst för att ringa hem. Att hålla programvara uppdaterad och undvika okända bilagor skyddar dig oavsett vilket nätverk angriparen använder.
Vad försvarare kan göra åt missbruk av overlay-nätverk
Organisationer, särskilt inom logistik, jordbruk och andra sektorer i försörjningskedjan, kan vidta förnuftiga åtgärder utan att förbjuda integritetsteknik överallt:
- Vet hur normalt ser ut. Baslinjemät utgående trafik så att ovanliga peer-to-peer- eller overlay-anslutningar sticker ut.
- Begränsa som standard. Om ett företag inte har någon anledning att köra overlay-nätverk på servrar eller arbetsstationer kan egress-filtrering blockera dem.
- Övervaka slutpunkter, inte bara perimetern. När nätverkstrafik är svår att inspektera kan slutpunktsdetektering fortfarande upptäcka misstänkta processer.
- Lappa snabbt. Initial åtkomst kommer ofta genom mjukvarubrister, vilket leder till nästa punkt.
Ryskt länkade aktörer tenderar att kombinera dold infrastruktur med utnyttjade sårbarheter. Vår rapport om hur ryska spioner använde en Zimbra zero-day för att stjäla 2FA-koder visar den andra halvan av det hantverket. Insider- och personalrisker spelar också roll, vilket diskuteras i vår guide för granskning av insiderhot.
Viktiga lärdomar
Historien om Yggdrasil-nätverket skadlig kod ryska hackare-aktivitet, som rapporterats av ESET, handlar mindre om ett enskilt verktyg och mer om ett mönster: angripare återanvänder legitim integritetsinfrastruktur för att gömma sig. Håll din programvara lappad, var försiktig med vad som körs på dina enheter och förstå att både integritetsverktyg och mjukvarusårbarheter kan utnyttjas av statligt länkade grupper. För att se hur sårbarhetssidan utspelar sig, läs vår rapportering om Zimbra zero-day och håll dina försvar i lager.
