ESET รายงานว่าแฮกเกอร์ที่มีความเชื่อมโยงกับรัสเซียใช้เครือข่าย Yggdrasil เพื่อปกปิดกิจกรรมอันตรายระหว่างการโจมตีบริษัทธัญพืชของยูเครน การค้นพบนี้เป็นเครื่องเตือนใจที่มีประโยชน์ว่าแคมเปญ Yggdrasil network malware Russian hackers ไม่ได้พึ่งพาเครื่องมือแปลกใหม่เพียงอย่างเดียว พวกเขายังสามารถยืมเทคโนโลยีความเป็นส่วนตัวและเครือข่ายที่ถูกกฎหมายมาใช้เพื่อกลมกลืนได้อีกด้วย

แหล่งข่าวที่รายงานนั้นสั้น ดังนั้นโพสต์นี้จึงยึดตามสิ่งที่ได้รับการยืนยันแล้วและอธิบายบริบทที่กว้างขึ้นอย่างระมัดระวัง

สิ่งที่ ESET ค้นพบในการโจมตีบริษัทธัญพืชของยูเครน

ตามรายงานของ ESET แฮกเกอร์ที่มีความเชื่อมโยงกับรัสเซียใช้เครือข่าย Yggdrasil เพื่อซ่อนมัลแวร์ระหว่างการโจมตีบริษัทธัญพืชของยูเครน รายงานอีกฉบับอธิบายว่า Yggdrasil เป็นเครือข่ายที่ดำเนินการโดยอาสาสมัคร และระบุว่าเครือข่ายนี้ถูกใช้เพื่อปกปิดการสื่อสารในการโจมตีธุรกิจโลจิสติกส์ธัญพืชของยูเครน

รายงานที่มีอยู่ไม่ได้ให้รายละเอียดทางเทคนิคเพิ่มเติม เช่น ผู้โจมตีเข้าถึงระบบได้ครั้งแรกอย่างไร มีตระกูลมัลแวร์ใดเกี่ยวข้อง หรือความเสียหายที่ตั้งใจไว้คืออะไร เราาจะไม่คาดเดาในประเด็นเหล่านั้น สิ่งที่ชัดเจนคือรูปแบบ: ผู้โจมตีเลือกเครือข่ายโอเวอร์เลย์ที่เข้ารหัสเป็นที่ซ่อนสำหรับทราฟฟิกของพวกเขา

Yggdrasil ช่วยให้ผู้โจมตีซ่อนทราฟฟิกได้อย่างไร

Yggdrasil เป็นเครือข่ายโอเวอร์เลย์ที่เข้ารหัส พูดง่ายๆ คือมันสร้างเครือข่ายบนอินเทอร์เน็ตปกติ โดยผู้เข้าร่วมเชื่อมต่อถึงกันผ่าน peer และได้รับที่อยู่ภายในโอเวอร์เลย์นั้น เนื่องจากดำเนินการโดยอาสาสมัครและเป็นการกระจายศูนย์ จึงไม่มีบริษัทเดียวที่ดำเนินการซึ่งสามารถขอให้บล็อกหรือบันทึกกิจกรรมได้ง่ายๆ

สำหรับผู้โจมตี สิ่งนี้มีความน่าสนใจสำหรับ command-and-control ซึ่งเป็นช่องทางการสื่อสารระหว่างมัลแวร์บนเครื่องเหยื่อกับผู้ที่ควบคุมมัน หากระบบที่ติดเชื้อสื่อสารกับผู้ควบคุมผ่านเครือข่ายโอเวอร์เลย์ ทราฟฟิกอาจดูแตกต่างจากการเชื่อมต่อกับเซิร์ฟเวอร์อันตรายที่รู้จัก ผู้ป้องกันที่พึ่งพาบล็อกลิสต์ของที่อยู่ IP และโดเมนที่น่าสงสัยอาจมีข้อมูลให้ใช้น้อยลง เนื่องจากปลายทางไม่ใช่ผู้ให้บริการโฮสติ้งทั่วไป

นี่ไม่ได้หมายความว่าเครือข่ายเองเป็นอันตราย แต่หมายความว่าเครื่องมือที่เป็นกลางสามารถถูกชี้ไปที่เป้าหมายที่เป็นอันตรายได้

ทำไมเครื่องมือนิรนามจึงใช้ได้สองทาง และสิ่งนี้หมายความอย่างไรสำหรับผู้ใช้ VPN

เทคโนโลยีความเป็นส่วนตัวทำงานโดยการซ่อนว่าใครกำลังคุยกับใครและกำลังพูดอะไร ประโยชน์นั้นใช้ได้เท่าเทียมกันกับนักข่าวที่ปกป้องแหล่งข่าวและกับผู้โจมตีที่ปกป้องเซิร์ฟเวอร์ เช่นเดียวกับ VPN, Tor และเครือข่ายโอเวอร์เลย์อย่าง Yggdrasil

ความเป็นจริงเรื่องการใช้ได้สองทางนี้มีความสำคัญเพราะมันกำหนดทิศทางการถกเถียงเชิงนโยบาย รัฐบาลที่ต้องการจำกัดเครื่องมือนิรนามมักอ้างถึงการใช้งานในทางอาชญากรรม เราได้เห็นแรงกดดันต่อเครื่องมือความเป็นส่วนตัวที่อื่น เช่น แรงผลักดันในรัสเซียที่อธิบายไว้ในบทความของเราเรื่อง ภาษี VPN ของรัสเซียและต้นทุนของความเป็นส่วนตัว การค้นพบของ ESET เป็นเครื่องเตือนใจว่าการใช้งานในทางที่ผิดมีอยู่จริง แต่มันไม่ใช่ข้อโต้แย้งว่าผู้ใช้ทั่วไปควรละทิ้งการเข้ารหัส

สิ่งนี้หมายความอย่างไรสำหรับคุณ

สำหรับผู้ใช้ VPN และเครื่องมือความเป็นส่วนตัวในชีวิตประจำวัน รายงานนี้ไม่ได้บ่งชี้ถึงความเสี่ยงใหม่ใดๆ ต่อการเชื่อมต่อของคุณเอง ไม่มีสิ่งใดในแหล่งข่าวที่บ่งชี้ว่าผู้ใช้ Yggdrasil หรือลูกค้า VPN ได้รับผลกระทบ ข้อสรุปเชิงปฏิบัติเกี่ยวข้องกับมุมมองมากกว่า:

  • เครื่องมือความเป็นส่วนตัวไม่ใช่ภัยคุกคาม การโจมตีสำเร็จเพราะบริษัทธัญพืชถูกบุกรุก ไม่ใช่เพราะเครือข่ายที่เข้ารหัสมีอยู่
  • คาดว่าจะมีการตรวจสอบมากขึ้น ผู้ดูแลเครือข่ายอาจเริ่มตั้งค่าสถานะหรือบล็อกทราฟฟิกเครือข่ายโอเวอร์เลย์บนเครือข่ายองค์กร ดังนั้นคุณอาจเห็นข้อจำกัดในที่ทำงานหรือที่โรงเรียน
  • อุปกรณ์ของคุณเองยังคงสำคัญ มัลแวร์บนเครื่องของคุณสามารถใช้ช่องทางใดก็ได้ในการติดต่อกลับบ้าน การอัปเดตซอฟต์แวร์อยู่เสมอและหลีกเลี่ยงไฟล์แนบที่ไม่รู้จักจะปกป้องคุณได้ไม่ว่าผู้โจมตีจะใช้เครือข่ายใด

ผู้ป้องกันสามารถทำอะไรได้บ้างเกี่ยวกับการใช้เครือข่ายโอเวอร์เลย์ในทางที่ผิด

องค์กร โดยเฉพาะในภาคโลจิสติกส์ เกษตรกรรม และภาคห่วงโซ่อุปทานอื่นๆ สามารถดำเนินการที่สมเหตุสมผลได้โดยไม่ต้องแบนเทคโนโลยีความเป็นส่วนตัวทุกหนทุกแห่ง:

  1. รู้ว่าสิ่งปกติเป็นอย่างไร สร้างฐานข้อมูลทราฟฟิกขาออกเพื่อให้การเชื่อมต่อ peer-to-peer หรือโอเวอร์เลย์ที่ผิดปกติโดดเด่นออกมา
  2. จำกัดโดยค่าเริ่มต้น หากธุรกิจไม่มีเหตุผลที่จะรันเครือข่ายโอเวอร์เลย์บนเซิร์ฟเวอร์หรือเวิร์กสเตชัน การกรองทราฟฟิกขาออกสามารถบล็อกได้
  3. ตรวจสอบ endpoint ไม่ใช่แค่ขอบเครือข่าย เมื่อทราฟฟิกเครือข่ายตรวจสอบได้ยาก การตรวจจับที่ endpoint ยังสามารถตรวจจับโปรเซสที่น่าสงสัยได้
  4. แพตช์อย่างรวดเร็ว การเข้าถึงครั้งแรกมักมาจากช่องโหว่ของซอฟต์แวร์ ซึ่งนำไปสู่ประเด็นถัดไป

ผู้กระทำที่มีความเชื่อมโยงกับรัสเซียมักรวมโครงสร้างพื้นฐานที่ซ่อนอยู่กับการใช้ช่องโหว่ที่ถูกเอาเปรียบ รายงานของเราเกี่ยวกับวิธีที่สายลับรัสเซียใช้ zero-day ของ Zimbra เพื่อขโมยรหัส 2FA แสดงอีกครึ่งหนึ่งของเทคนิคนี้ ความเสี่ยงจากคนวงในและบุคลากรก็มีความสำคัญเช่นกัน ดังที่กล่าวไว้ในคู่มือการตรวจสอบภัยคุกคามจากคนวงในของเรา

ประเด็นสำคัญ

เรื่องราวของกิจกรรม Yggdrasil network malware Russian hackers ตามที่ ESET รายงาน ไม่ได้เกี่ยวกับเครื่องมือเดียวมากนัก แต่เกี่ยวกับรูปแบบ: ผู้โจมตีนำโครงสร้างพื้นฐานความเป็นส่วนตัวที่ถูกกฎหมายมาใช้ซ้ำเพื่อซ่อนตัว อัปเดตซอฟต์แวร์ของคุณอยู่เสมอ ระมัดระวังสิ่งที่รันบนอุปกรณ์ของคุณ และเข้าใจว่าทั้งเครื่องมือความเป็นส่วนตัวและช่องโหว่ของซอฟต์แวร์สามารถถูกใช้ประโยชน์โดยกลุ่มที่มีความเชื่อมโยงกับรัฐได้ หากต้องการดูว่าด้านช่องโหว่เป็นอย่างไร โปรดอ่านบทความของเราเกี่ยวกับ zero-day ของ Zimbra และรักษาการป้องกันของคุณให้เป็นแบบหลายชั้น