ESET, Rusya bağlantılı hackerların Ukraynalı bir tahıl şirketine yönelik saldırı sırasında kötü amaçlı faaliyetleri gizlemek için Yggdrasil ağını kullandığını bildirdi. Bu bulgu, Yggdrasil ağı kötü amaçlı yazılım Rus hackerlar kampanyalarının yalnızca egzotik araçlara dayanmadığını hatırlatan faydalı bir hatırlatmadır. Aynı zamanda, gizlenmek için meşru gizlilik ve ağ teknolojilerini de ödünç alabilirler.
Kaynak haberleşme kısa olduğundan, bu yazı doğrulanmış olanlara bağlı kalmakta ve daha geniş bağlamı dikkatlice açıklamaktadır.
ESET'in Ukraynalı Tahıl Şirketi Saldırısında Buldukları
ESET'e göre, Rusya ile bağlantılı hackerlar Ukraynalı bir tahıl şirketine yönelik saldırı sırasında kötü amaçlı yazılımı gizlemek için Yggdrasil ağını kullandı. Ayrı haberler Yggdrasil'ı gönüllüler tarafından işletilen bir ağ olarak tanımlamakta ve Ukraynalı bir tahıl lojistiği işletmesine yönelik bir saldırıda iletişimi gizlemek için kullanıldığını söylemektedir.
Mevcut haberleşme, saldırganların ilk erişimi nasıl elde ettiği, hangi kötü amaçlı yazılım ailelerinin dahil olduğu veya amaçlanan hasarın ne olduğu gibi daha fazla teknik ayrıntı sunmamaktadır. Bu noktalarda tahmin yürütmeyeceğiz. Açık olan şey örüntüdür: saldırganlar trafikleri için bir saklanma yeri olarak şifrelenmiş bir kaplama ağı seçmiştir.
Yggdrasil Saldırganların Trafiklerini Gizlemesine Nasıl Yardımcı Oldu
Yggdrasil şifrelenmiş bir kaplama ağıdır. Basitçe söylemek gerekirse, normal internetin üzerinde bir ağ oluşturur; burada katılımcılar eşler aracılığıyla birbirine bağlanır ve bu kaplamanın içinde adresler alır. Gönüllüler tarafından işletildiği ve merkezi olmadığı için, faaliyetleri kolayca engellemesi veya günlüğe kaydetmesi istenebilecek tek bir şirket yoktur.
Bir saldırgan için bu, komuta-kontrol, yani kurban makinedeki kötü amaçlı yazılım ile onu kontrol eden kişiler arasındaki iletişim kanalı için çekicidir. Enfekte sistemler kontrolcülerle bir kaplama ağı üzerinden konuşursa, trafik bilinen kötü amaçlı bir sunucuya yapılan bağlantılardan farklı görünebilir. Şüpheli IP adresleri ve alan adlarından oluşan engelleme listelerine güvenen savunucuların üzerinde çalışacağı daha az şey olabilir, çünkü hedef geleneksel bir barındırma sağlayıcısı değildir.
Bu, ağın kendisinin kötü amaçlı olduğu anlamına gelmez. Bu, tarafsız bir aracın zararlı bir hedefe yöneltilebileceği anlamına gelir.
Anonimlik Araçları Neden Çift Kullanımlıdır ve Bunun VPN Kullanıcıları İçin Anlamı
Gizlilik teknolojisi, kimin kiminle konuştuğunu ve ne söylediğini gizleyerek çalışır. Bu fayda, bir kaynağı koruyan gazeteci için de bir sunucuyu koruyan saldırgan için de eşit şekilde geçerlidir. Aynı şey VPN'ler, Tor ve Yggdrasil gibi kaplama ağları için de geçerlidir.
Bu çift kullanım gerçeği önemlidir çünkü politika tartışmalarını şekillendirir. Anonimlik araçlarını kısıtlamak isteyen hükümetler sıklıkla suç amaçlı kötüye kullanıma işaret eder. Gizlilik araçları üzerindeki baskıyı başka yerlerde de gördük; örneğin Rusya'nın VPN vergisi ve gizliliğin maliyeti yazımızda anlatılan Rusya'daki baskı gibi. ESET bulgusu kötüye kullanımın var olduğunu hatırlatır, ancak bu sıradan kullanıcıların şifrelemeden vazgeçmesi gerektiği yönünde bir argüman değildir.
Bunun Sizin İçin Anlamı
Günlük VPN ve gizlilik aracı kullanıcıları için bu rapor kendi bağlantınıza yönelik herhangi bir yeni risk işaret etmemektedir. Kaynaktaki hiçbir şey Yggdrasil kullanıcılarının veya VPN müşterilerinin etkilendiğini düşündürmemektedir. Pratik çıkarımlar daha çok bakış açısıyla ilgilidir:
- Gizlilik araçları tehdit değildir. Saldırı, şifrelenmiş bir ağ var olduğu için değil, tahıl şirketi ele geçirildiği için başarılı oldu.
- Daha fazla inceleme bekleyin. Ağ yöneticileri kurumsal ağlarda kaplama ağı trafiğini işaretlemeye veya engellemeye başlayabilir, bu nedenle işte veya okulda kısıtlamalar görebilirsiniz.
- Kendi cihazlarınız hâlâ önemlidir. Makinenizdeki kötü amaçlı yazılım eve bağlanmak için herhangi bir kanalı kullanabilir. Yazılımı güncel tutmak ve bilinmeyen eklerden kaçınmak, saldırganın hangi ağı kullandığından bağımsız olarak sizi korur.
Savunucular Kaplama Ağı Kötüye Kullanımına Karşı Ne Yapabilir
Kuruluşlar, özellikle lojistik, tarım ve diğer tedarik zinciri sektörlerindekiler, gizlilik teknolojisini her yerde yasaklamadan makul adımlar atabilir:
- Normalin neye benzediğini bilin. Olağandışı eşler arası veya kaplama bağlantılarının öne çıkması için giden trafiğin temel çizgisini belirleyin.
- Varsayılan olarak kısıtlayın. Bir işletmenin sunucularda veya iş istasyonlarında kaplama ağları çalıştırmak için bir nedeni yoksa, giden filtreleme bunları engelleyebilir.
- Yalnızca çevreyi değil, uç noktaları da izleyin. Ağ trafiğinin incelenmesi zor olduğunda, uç nokta tespiti hâlâ şüpheli süreçleri tespit edebilir.
- Hızlıca yama uygulayın. İlk erişim genellikle yazılım kusurları yoluyla gelir, bu da bir sonraki noktaya götürür.
Rusya bağlantılı aktörler gizli altyapıyı istismar edilen güvenlik açıklarıyla birleştirme eğilimindedir. Rus casusların 2FA kodlarını çalmak için bir Zimbra sıfır gününü nasıl kullandığı hakkındaki raporumuz bu taktiğin diğer yarısını göstermektedir. İçeriden ve personel riskleri de önemlidir; iç tehdit inceleme rehberimizde tartışıldığı gibi.
Temel Çıkarımlar
ESET tarafından bildirilen Yggdrasil ağı kötü amaçlı yazılım Rus hackerlar faaliyeti hikâyesi, tek bir araçtan çok bir örüntüyle ilgilidir: saldırganlar gizlenmek için meşru gizlilik altyapısını yeniden kullanır. Yazılımınızı yamalı tutun, cihazlarınızda neyin çalıştığına karşı dikkatli olun ve hem gizlilik araçlarının hem de yazılım güvenlik açıklarının devlet bağlantılı gruplar tarafından istismar edilebileceğini anlayın. Güvenlik açığı tarafının nasıl sonuçlandığını görmek için Zimbra sıfır günü haberimizi okuyun ve savunmalarınızı katmanlı tutun.
