Operace Highland: Jak se čínští hackeři proměnili v samotné přihlašovací okno

Bezpečnostní společnost Sygnia zveřejnila výsledky vyšetřování pojmenovaného Operace Highland, které odhaluje jednu z nejdisciplinovanějších a nejdéle trvajících kyberšpionážních kampaní poslední doby. Aktivita je s vysokou mírou jistoty připisována čínské skupině, kterou Sygnia sleduje pod jménem Velvet Ant. Tato operace není založena na žádné převratné zero-day zranitelnosti. Její podstata je až nebezpečně prostá: zabydlet se přímo v softwaru, který rozhoduje o tom, kdo se smí přihlásit.

Jak probíhala desetiletá infiltrace

Síť oběti neměla přímé připojení k internetu a nacházely se v ní vysoce citlivé systémy. Forenzní časová osa firmy Sygnia ukazuje, že útočníci získali opěrný bod nejpozději v roce 2016, což skupině poskytlo takřka desetiletý čas "pobytu" uvnitř prostředí .

Počáteční přístup. K průniku pravděpodobně došlo prostřednictvím zastaralého, internetu vystaveného zařízení F5 BIG-IP, které organizace nevyřadila z provozu a neaktualizovala. Jakmile útočníci toto zařízení ovládli, použili jej jako odrazový můstek k postupu hlouběji do sítě – až se dostali do od internetu odpojeného vnitřního segmentu .

Jak zadní vrátka fungovala

Místo nasazování malwaru na míru, který by skenery souborů nebo endpointové ochrany mohly časem odhalit, skupina Velvet Ant podvrátila vlastní mechanismus důvěry operačního systému. Na desítkách počítačů systematicky nahradila základní linuxové autentizační komponenty – konkrétně zásuvný autentizační modul pam_unix.so (který ověřuje hesla) a několik binárních souborů OpenSSH – jejich trojanizovanými verzemi .

Tato záměna poskytovala z jediného implantátu dvě schopnosti:

1. Univerzální heslo. Podvržené moduly obsahovaly pevně zakódované tajné heslo. S tímto heslem bylo možné získat přístup k jakémukoli uživatelskému účtu, čímž se zcela obešla normální autentizace. I kdyby administrátoři změnili přihlašovací údaje všech uživatelů, útočníci mohli stále vejít hlavním vchodem .
2. Tiché získávání přihlašovacích údajů. Každá legitimní přihlašovací událost byla v reálném čase zachycena. Hesla všech přihlašujících se uživatelů v čitelné podobě byla ukládána do skrytého souboru umístěného na /usr/share/awk/nullfile.awk. To skupině Velvet Ant umožnilo shromažďovat platné přihlašovací údaje napříč celou uživatelskou základnou, aniž by při tom vznikaly další podezřelé aktivity .

Proč standardní postupy selhaly

Tradiční příručky pro reakci na incidenty nejsou stavěné na nepřítele, který překompletoval přihlašovací soubory vašeho operačního systému. Zpráva Sygnia jasně ukazuje, proč prvních několik pokusů o vyčištění selhalo:

• Slepá skvrna. Standardní postup – odstranit podezřelé soubory, ukončit škodlivé procesy, změnit všechna hesla – neměl na hlavní mechanismus perzistence útočníků žádný vliv. Trojanizované soubory pam_unix.so a SSH binárky byly legitimními systémovými soubory ve všech ohledech kromě své zkompilované logiky .
• Maskování metadat. Útočníci zachovali původní názvy souborů, cesty, časová razítka a přibližně stejnou velikost souborů. Jakákoli kontrola integrity souborů, která spoléhá pouze na metadata (což je v mnoha firemních prostředích běžné), neodhalila nic podezřelého .
• Marnost změny hesel. Protože univerzální heslo bylo pevně zabudováno přímo v autentizačním modulu, resetování hesel všech uživatelů útočníky nijak neodřízlo .
• Schopnost sebeobnovy. Důkazy shromážděné během vyšetřování naznačovaly, že zadní vrátka byla navržena tak, aby přežila částečnou nápravu. Pokud bezpečnostní tým vyčistil několik počítačů, ale na jiných zůstaly autentizační komponenty kompromitované, skupina se mohla laterálně přesunout a opravené stroje znovu infikovat .

Konečný krok nápravy ze strany Sygnia byl jednoznačný: síť vyžadovala kompletní přeinstalování operačního systému na všech dotčených počítačích z ověřeného média pouze pro čtení. Selektivní mazání souborů nebo částečné obnovení systému z image bylo nedostatečné .

Charakteristické vzorce činnosti

Úspěch skupiny Velvet Ant nespočívá v exotických řetězcích útoků. Skupina místo toho předvádí propracovaný operační manuál zaměřený na trpělivost a maskování na úrovni autentizace.

Operační vzorec	Pozorované chování
Počáteční průnik přes síťový okraj	Zneužívá nezabezpečená firemní zařízení – zejména F5 BIG-IP a přepínače Cisco Nexus – vystavená do internetu jako předmostí do vnitřních sítí .
Autentizační podvracení jako primární implantát	Vyhýbá se nasazování běžných trojských koní pro vzdálený přístup (RAT) na koncové stanice a místo toho nahrazuje komponenty ověřující přihlášení uživatelů napříč linuxovou flotilou .
Redundantní síť perzistence	Udržuje více opěrných bodů napříč různými segmenty sítě, takže ztráta jednoho přístupového bodu – nebo dokonce celého zařízení – operaci neukončí .
Využívání legitimních nástrojů	Pohybuje se laterálně pomocí odcizených přihlašovacích údajů a standardních administrátorských nástrojů, jako je SSH, takže zanechává minimum vlastních signatur pro detekční nástroje .
Průmyslové získávání přihlašovacích údajů	Zaznamenává hesla v čitelné podobě z každého úspěšného přihlášení v síti, čímž neustále shromažďuje platné identity bez dalšího síťového šumu .
Extrémní doba setrvání	Operuje v řádu let, nikoli dnů nebo týdnů. Toto pomalé tempo znamená, že krátká retenční okna logů a běžná údržba systému mohou forenzní stopy vymazat .

Atribuce a související aktivity

Společnost Sygnia připisuje Operaci Highland skupině Velvet Ant s vysokou mírou jistoty a spojuje ji s cíli čínské státem sponzorované špionáže . Skupina se zaměřuje na velké organizace ve východní Asii, zejména na poskytovatele telekomunikačních služeb a kritickou infrastrukturu .

Předchozí a souběžné kampaně poskytují další kontext. V jiném případě používala skupina Velvet Ant zastaralá zařízení F5 BIG-IP jako proxy pro řízení a ovládání (C2) po dobu nejméně tří let, než vyšetřování Sygnia tuto aktivitu odhalilo . Skupina byla rovněž pozorována při nasazování malwaru PlugX a ShadowPad během dřívějších průniků, což naznačuje širokou sadu nástrojů zahrnující jak vlastní, tak veřejně dostupné prostředky .

Co by měli obránci udělat nyní

Nejdůležitější lekcí z Operace Highland pro obranu je, že tradiční ochrana koncových bodů a změny hesel nestačí, pokud je samotný autentizační systém nedůvěryhodný.

Obránci by měli upřednostnit monitorování integrity souborů, které porovnává kryptografické hashe kritických systémových binárek – včetně /lib/security/pam_unix.so a binárek SSH démona – s ověřenými výchozími hodnotami, nejen metadata souborů. Zásadní je také centrální protokolování všech autentizačních událostí do neměnného, externího systému, protože útočník s dostatečným přístupem může s logy na daném počítači manipulovat. Vícefaktorová autentizace zůstává cennou bariérou, ale přímo nechrání proti zadním vrátkům v PAM službě, která autentizační kontroly zcela obchází.

Operace Highland ukazuje, že nejnebezpečnější forma perzistence nevypadá vůbec jako malware – vypadá jako přihlašovací výzva, které každý den důvěřujete.