ESET đưa tin rằng tin tặc có liên hệ với Nga đã sử dụng mạng Yggdrasil để che giấu hoạt động độc hại trong một cuộc tấn công nhằm vào một công ty ngũ cốc của Ukraine. Phát hiện này là một lời nhắc nhở hữu ích rằng các chiến dịch mã độc mạng Yggdrasil của tin tặc Nga không chỉ dựa vào những công cụ kỳ lạ. Chúng còn có thể mượn các công nghệ mạng và quyền riêng tư hợp pháp để hòa lẫn.
Nguồn tin khá ngắn gọn, vì vậy bài viết này chỉ bám sát những gì đã được xác nhận và giải thích bối cảnh rộng hơn một cách cẩn thận.
Những gì ESET phát hiện trong cuộc tấn công vào công ty ngũ cốc Ukraine
Theo ESET, tin tặc có liên hệ với Nga đã sử dụng mạng Yggdrasil để ẩn giấu mã độc trong một cuộc tấn công nhằm vào một công ty ngũ cốc của Ukraine. Các bài báo đưa tin riêng mô tả Yggdrasil là một mạng do tình nguyện viên vận hành và cho biết nó đã được sử dụng để che giấu liên lạc trong một cuộc tấn công nhằm vào một doanh nghiệp hậu cần ngũ cốc của Ukraine.
Các báo cáo hiện có không cung cấp thêm chi tiết kỹ thuật, chẳng hạn như cách những kẻ tấn công có được quyền truy cập ban đầu, những họ mã độc nào có liên quan, hoặc thiệt hại dự kiến là gì. Chúng tôi sẽ không đoán về những điểm đó. Điều rõ ràng là mô thức: những kẻ tấn công đã chọn một mạng lớp phủ được mã hóa làm nơi ẩn giấu lưu lượng của chúng.
Cách Yggdrasil giúp tin tặc ẩn giấu lưu lượng của chúng
Yggdrasil là một mạng lớp phủ được mã hóa. Nói một cách đơn giản, nó tạo ra một mạng lưới trên nền internet thông thường, nơi những người tham gia kết nối với nhau thông qua các peer và nhận địa chỉ bên trong lớp phủ đó. Bởi vì nó do tình nguyện viên vận hành và được phi tập trung hóa, không có một công ty duy nhất nào điều hành nó mà có thể dễ dàng bị yêu cầu chặn hoặc ghi nhật ký hoạt động.
Đối với kẻ tấn công, điều đó hấp dẫn cho chỉ huy và điều khiển, kênh liên lạc giữa mã độc trên máy nạn nhân và những người điều khiển nó. Nếu các hệ thống bị nhiễm liên lạc với bộ điều khiển thông qua một mạng lớp phủ, lưu lượng có thể trông khác với các kết nối đến một máy chủ độc hại đã biết. Những người phòng thủ dựa vào danh sách chặn các địa chỉ IP và tên miền đáng ngờ có thể có ít dữ liệu hơn để làm việc, vì đích đến không phải là một nhà cung cấp dịch vụ lưu trữ thông thường.
Điều này không có nghĩa là bản thân mạng lưới là độc hại. Nó có nghĩa là một công cụ trung lập có thể bị hướng vào một mục tiêu có hại.
Tại sao các công cụ ẩn danh có tính lưỡng dụng, và điều đó có ý nghĩa gì đối với người dùng VPN
Công nghệ quyền riêng tư hoạt động bằng cách che giấu ai đang nói chuyện với ai và họ đang nói gì. Lợi ích đó áp dụng như nhau cho một nhà báo đang bảo vệ nguồn tin và cho một kẻ tấn công đang bảo vệ máy chủ. Điều tương tự cũng đúng với VPN, Tor và các mạng lớp phủ như Yggdrasil.
Thực tế lưỡng dụng đó quan trọng vì nó định hình các cuộc tranh luận chính sách. Các chính phủ muốn hạn chế các công cụ ẩn danh thường viện dẫn đến việc lạm dụng tội phạm. Chúng ta đã thấy áp lực đối với các công cụ quyền riêng tư ở những nơi khác, chẳng hạn như sức ép ở Nga được mô tả trong bài viết của chúng tôi về thuế VPN của Nga và cái giá của quyền riêng tư. Phát hiện của ESET là một lời nhắc nhở rằng việc lạm dụng là có thật, nhưng đó không phải là lý lẽ để người dùng thông thường từ bỏ mã hóa.
Điều này có ý nghĩa gì đối với bạn
Đối với người dùng VPN và công cụ quyền riêng tư hàng ngày, báo cáo này không báo hiệu bất kỳ rủi ro mới nào đối với kết nối của chính bạn. Không có gì trong nguồn tin cho thấy người dùng Yggdrasil hoặc khách hàng VPN bị ảnh hưởng. Những bài học thực tế thiên về góc nhìn hơn:
- Công cụ quyền riêng tư không phải là mối đe dọa. Cuộc tấn công thành công vì công ty ngũ cốc đã bị xâm phạm, không phải vì một mạng được mã hóa tồn tại.
- Hãy chuẩn bị cho sự giám sát nhiều hơn. Các quản trị viên mạng có thể bắt đầu gắn cờ hoặc chặn lưu lượng mạng lớp phủ trên mạng doanh nghiệp, vì vậy bạn có thể thấy các hạn chế ở nơi làm việc hoặc trường học.
- Thiết bị của chính bạn vẫn quan trọng. Mã độc trên máy của bạn có thể sử dụng bất kỳ kênh nào để liên lạc về nhà. Giữ phần mềm được cập nhật và tránh các tệp đính kèm không rõ nguồn gốc sẽ bảo vệ bạn bất kể kẻ tấn công sử dụng mạng nào.
Những gì người phòng thủ có thể làm về việc lạm dụng mạng lớp phủ
Các tổ chức, đặc biệt là những tổ chức trong lĩnh vực hậu cần, nông nghiệp và các lĩnh vực chuỗi cung ứng khác, có thể thực hiện các bước hợp lý mà không cần cấm công nghệ quyền riêng tư ở mọi nơi:
- Biết trạng thái bình thường trông như thế nào. Thiết lập đường cơ sở cho lưu lượng đi ra để các kết nối peer-to-peer hoặc lớp phủ bất thường nổi bật.
- Hạn chế theo mặc định. Nếu một doanh nghiệp không có lý do gì để chạy mạng lớp phủ trên máy chủ hoặc máy trạm, lọc lưu lượng đi ra có thể chặn chúng.
- Giám sát các điểm cuối, không chỉ vành đai. Khi lưu lượng mạng khó kiểm tra, phát hiện điểm cuối vẫn có thể phát hiện các tiến trình đáng ngờ.
- Vá lỗi nhanh chóng. Truy cập ban đầu thường đến qua các lỗ hổng phần mềm, dẫn đến điểm tiếp theo.
Các tác nhân có liên hệ với Nga có xu hướng kết hợp cơ sở hạ tầng ẩn với các lỗ hổng bị khai thác. Báo cáo của chúng tôi về cách điệp viên Nga sử dụng lỗ hổng zero-day của Zimbra để đánh cắp mã 2FA cho thấy nửa còn lại của kỹ thuật đó. Rủi ro từ người trong nội bộ và nhân sự cũng quan trọng, như đã thảo luận trong hướng dẫn sàng lọc mối đe dọa nội bộ của chúng tôi.
Những điểm chính cần ghi nhớ
Câu chuyện về hoạt động mã độc mạng Yggdrasil của tin tặc Nga, như được ESET báo cáo, không phải là về một công cụ đơn lẻ mà là về một mô thức: những kẻ tấn công tái sử dụng cơ sở hạ tầng quyền riêng tư hợp pháp để ẩn náu. Hãy giữ phần mềm của bạn được vá lỗi, thận trọng với những gì chạy trên thiết bị của bạn, và hiểu rằng cả công cụ quyền riêng tư lẫn lỗ hổng phần mềm đều có thể bị các nhóm có liên hệ với nhà nước khai thác. Để xem khía cạnh lỗ hổng diễn ra như thế nào, hãy đọc bài viết của chúng tôi về lỗ hổng zero-day của Zimbra và giữ cho các biện pháp phòng thủ của bạn được phân lớp.
