ESET повідомила, що пов'язані з Росією хакери використовували мережу Yggdrasil для приховування шкідливої активності під час атаки на українську зернову компанію. Це відкриття є корисним нагадуванням, що кампанії Yggdrasil network malware Russian hackers не покладаються лише на екзотичні інструменти. Вони також можуть позичати легітимні технології приватності та мережевої взаємодії, щоб змішатися з навколишнім середовищем.
Джерело повідомляє стисло, тому цей пост дотримується лише підтверджених фактів і обережно пояснює ширший контекст.
Що ESET виявила в атаці на українську зернову компанію
За даними ESET, пов'язані з Росією хакери використовували мережу Yggdrasil для приховування malware під час атаки на українську зернову компанію. Окремі публікації описують Yggdrasil як мережу, керовану волонтерами, і зазначають, що її використовували для приховування комунікацій під час атаки на український бізнес із зернової логістики.
Наявні публікації не надають подальших технічних деталей, як-от спосіб, у який зловмисники отримали початковий доступ, які саме родини malware були задіяні або якою була запланована шкода. Ми не будемо здогадуватися щодо цих моментів. Зрозумілою є схема: зловмисники обрали зашифровану оверлейну мережу як схованку для свого трафіку.
Як Yggdrasil допомогла зловмисникам приховати свій трафік
Yggdrasil — це зашифрована оверлейна мережа. Простими словами, вона створює мережу поверх звичайного інтернету, де учасники з'єднуються один з одним через пірів і отримують адреси всередині цієї оверлейної мережі. Оскільки нею керують волонтери і вона децентралізована, немає єдиної компанії, яка нею оперує і до якої можна легко звернутися з проханням заблокувати або залогувати активність.
Для зловмісника це привабливо для command-and-control — каналу зв'язку між malware на ураженій машині та людьми, які ним керують. Якщо інфіковані системи спілкуються з контролерами через оверлейну мережу, трафік може виглядати інакше, ніж з'єднання з відомим шкідливим сервером. Захисники, які покладаються на блоклисти підозрілих IP-адрес і доменів, можуть мати менше інформації для роботи, оскільки призначення не є звичайним хостинг-провайдером.
Це не означає, що сама мережа є шкідливою. Це означає, що нейтральний інструмент можна спрямувати на шкідливу мету.
Чому інструменти анонімності є подвійного призначення, і що це означає для користувачів VPN
Технологія приватності працює шляхом приховування того, хто з ким говорить і що вони кажуть. Ця перевага однаковою мірою стосується і журналіста, який захищає джерело, і зловмисника, який захищає сервер. Те саме стосується VPN, Tor та оверлейних мереж, як-от Yggdrasil.
Ця реальність подвійного призначення важлива, оскільки вона формує політичні дебати. Уряди, які хочуть обмежити інструменти анонімності, часто посилаються на кримінальне зловживання. Ми бачили тиск на інструменти приватності в інших місцях, як-от кампанія в Росії, описана в нашому матеріалі Російський податок на VPN і ціна приватності. Відкриття ESET є нагадуванням, що зловживання існує, але це не аргумент на користь того, щоб звичайні користувачі відмовлялися від шифрування.
Що це означає для вас
Для повсякденних користувачів VPN та інструментів приватності цей звіт не сигналізує про жоден новий ризик для вашого власного з'єднання. Ніщо в джерелі не вказує на те, що користувачі Yggdrasil або клієнти VPN постраждали. Практичні висновки більше стосуються перспективи:
- Інструменти приватності не є загрозою. Атака вдалася тому, що зернову компанію було скомпрометовано, а не тому, що існує зашифрована мережа.
- Очікуйте більшої уваги. Мережеві адміністратори можуть почати позначати або блокувати трафік оверлейних мереж у корпоративних мережах, тож ви можете побачити обмеження на роботі чи в навчальному закладі.
- Ваші власні пристрої все ще мають значення. Malware на вашій машині може використовувати будь-який канал для зв'язку з контролером. Оновлення програмного забезпечення та уникнення невідомих вкладень захищають вас незалежно від того, яку мережу використовує зловмисник.
Що захисники можуть зробити щодо зловживання оверлейними мережами
Організації, особливо в логістиці, сільському господарстві та інших секторах ланцюга постачання, можуть вжити розумних заходів, не забороняючи технології приватності повсюдно:
- Знайте, як виглядає нормальний стан. Встановіть базовий рівень вихідного трафіку, щоб незвичайні peer-to-peer або оверлейні з'єднання виділялися.
- Обмежуйте за замовчуванням. Якщо бізнес не має причин запускати оверлейні мережі на серверах або робочих станціях, фільтрація вихідного трафіку може їх заблокувати.
- Моніторте кінцеві точки, а не лише периметр. Коли мережевий трафік важко інспектувати, виявлення на кінцевих точках все ще може виявити підозрілі процеси.
- Швидко встановлюйте патчі. Початковий доступ часто відбувається через вади програмного забезпечення, що підводить до наступного пункту.
Пов'язані з Росією суб'єкти, як правило, поєднують приховану інфраструктуру з використанням вразливостей. Наш звіт про те, як російські шпигуни використали zero-day у Zimbra для крадіжки кодів 2FA, показує іншу половину цієї тактики. Ризики, пов'язані з інсайдерами та персоналом, також мають значення, як обговорюється в нашому посібнику з перевірки щодо інсайдерських загроз.
Ключові висновки
Історія про активність Yggdrasil network malware Russian hackers, як повідомила ESET, менше стосується одного інструменту і більше — схеми: зловмисники повторно використовують легітимну інфраструктуру приватності для приховування. Тримайте програмне забезпечення оновленим, будьте обережні щодо того, що запускається на ваших пристроях, і розумійте, що як інструменти приватності, так і вразливості програмного забезпечення можуть бути використані пов'язаними з державою групами. Щоб побачити, як розгортається бік вразливостей, прочитайте наш матеріал про zero-day у Zimbra і підтримуйте багаторівневий захист.
