ESET报告称，与俄罗斯有关的黑客在对一家乌克兰粮食公司的攻击中利用Yggdrasil网络隐藏恶意活动。这一发现提醒我们，Yggdrasil网络恶意软件俄罗斯黑客的行动并不只依赖奇特的工具。他们还可以借用合法的隐私和网络技术来融入其中。
源报道内容简短，因此本文只坚持已确认的内容，并谨慎解释更广泛的背景。
ESET在乌克兰粮食公司攻击中发现了什么
据ESET称，与俄罗斯有关的黑客在对一家乌克兰粮食公司的攻击中使用Yggdrasil网络隐藏恶意软件。另有报道将Yggdrasil描述为一个由志愿者运营的网络，并称其被用于在对一家乌克兰粮食物流企业的攻击中隐藏通信。
现有报道未提供进一步的技术细节，例如攻击者最初如何获得访问权限、涉及哪些恶意软件家族，或预期造成的损害是什么。我们不会对这些点进行猜测。清楚的是这一模式：攻击者选择了一个加密覆盖网络作为其流量的藏身之处。
Yggdrasil如何帮助攻击者隐藏其流量
Yggdrasil是一个加密覆盖网络。简单来说，它在常规互联网之上创建了一个网络，参与者通过对等节点相互连接，并在该覆盖网络内获得地址。由于它由志愿者运营且是去中心化的，没有单一公司运营它，因此不容易被要求封锁或记录活动。
对攻击者而言，这对命令与控制（即受害机器上的恶意软件与控制者之间的通信渠道）很有吸引力。如果受感染的系统通过覆盖网络与控制器通信，流量看起来可能与连接到已知恶意服务器的流量不同。依赖可疑IP地址和域名阻止列表的防御者可用的线索可能更少，因为目的地不是传统的托管服务提供商。
这并不意味着该网络本身是恶意的。这意味着一个中立的工具可以被指向有害的目标。
为什么匿名工具具有双重用途，以及对VPN用户意味着什么
隐私技术的工作原理是隐藏谁在与谁通信以及他们在说什么。这一好处同样适用于保护消息来源的记者和保护服务器的攻击者。VPN、Tor以及像Yggdrasil这样的覆盖网络也是如此。
这种双重用途的现实很重要，因为它影响着政策辩论。想要限制匿名工具的政府经常指出犯罪滥用。我们在其他地方也看到过对隐私工具的压力，例如我们在俄罗斯的VPN税与隐私成本一文中描述的俄罗斯的推动。ESET的发现提醒我们滥用确实存在，但这并不是普通用户应该放弃加密的理由。
这对你意味着什么
对于日常VPN和隐私工具用户来说，这份报告并不表明你自己的连接面临任何新风险。来源中没有任何内容表明Yggdrasil用户或VPN客户受到了影响。实际要点更多关乎视角：
- 隐私工具不是威胁。 攻击之所以成功，是因为粮食公司被攻陷，而不是因为加密网络的存在。
- 预期会有更多审查。 网络管理员可能开始在企业网络上标记或封锁覆盖网络流量，因此你可能在工作或学校看到限制。
- 你自己的设备仍然重要。 你机器上的恶意软件可以利用任何渠道回连。保持软件更新并避免未知附件可以保护你，无论攻击者使用哪个网络。
防御者可以如何应对覆盖网络滥用
组织，尤其是物流、农业和其他供应链领域的组织，可以采取明智的措施，而不必到处禁止隐私技术：
- 了解正常状态是什么样的。 为出站流量建立基线，以便异常的點对點或覆盖连接能够凸显出来。
- 默认限制。 如果企业没有理由在服务器或工作站上运行覆盖网络，出站过滤可以封锁它们。
- 监控端点，而不仅仅是边界。 当网络流量难以检查时，端点检测仍然可以发现可疑进程。
- 快速修补。 初始访问通常通过软件漏洞实现，这就引出了下一点。
与俄罗斯有关的行為者倾向于将隐藏基础设施与被利用的漏洞结合起来。我们关于俄罗斯间谍如何利用Zimbra零日漏洞窃取2FA代码的报告展示了这种手法的另一半。内部人员和人事风险也很重要，正如我们的内部威胁审查指南中所讨论的。
关键要点
据ESET报道，Yggdrasil网络恶意软件俄罗斯黑客活动的故事与其说是关于单一工具，不如说是关于一种模式：攻击者重复利用合法的隐私基础设施来隐藏。保持软件修补，对设备上运行的内容保持谨慎，并理解隐私工具和软件漏洞都可能被与国家有关联的组织利用。要了解漏洞方面如何发展，请阅读我们对Zimbra零日漏洞的报道，并保持分层防御。
