Operaatio Highland paljastaa vuosikymmenen kestäneen kybervakoilun – takaportti löytyi sieltä, mistä kukaan ei osannut etsiä
Sygnian Operaatio Highland tutkinta paljasti, että Kiinaan yhdistetty Velvet Ant ryhmä pysyi piilossa eristetyssä verkossa lähes vuosikymmenen korvaamalla Linuxin pam unix.so moduuleja ja OpenSSH binäärejä manipuloidu... Tavanomaiset torjuntatoimet, kuten haitallisten tiedostojen poisto, prosessien sammuttaminen ja...
JulkaisijaMuokattu mallilla DeepSeek-V4-ProKuvat luotu mallilla GPT Image 1.5
Sygnian Operaatio Highland tutkinta paljasti, että Kiinaan yhdistetty Velvet Ant ryhmä pysyi piilossa eristetyssä verkossa lähes vuosikymmenen korvaamalla Linuxin pam unix.so moduuleja ja OpenSSH binäärejä manipuloidu...
Tavanomaiset torjuntatoimet, kuten haitallisten tiedostojen poisto, prosessien sammuttaminen ja salasanojen vaihto, osoittautuivat täysin hyödyttömiksi, koska manipuloidut autentikointitiedostot vaikuttivat metatiedoi...
Ryhmän toimintatapa perustuu äärimmäiseen kärsivällisyyteen ja käyttöjärjestelmän luotetun autentikointiarkkitehtuurin valjastamiseen.
What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and mVelvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com
Israelilainen tapahtumiin reagoiva Sygnia-tietoturvayhtiö on julkaissut Operaatio Highland -tutkinnan tulokset. Raportti paljastaa yhden kurinalaisimmista ja pitkäkestoisimmista kybervakoiluoperaatioista moneen vuoteen. Sygnia yhdistää toiminnan suurella varmuudella Kiinaan kytköksissä olevaan uhkaryhmään, jota se kutsuu nimellä Velvet Ant . Operaation teho ei perustu uusiin haavoittuvuuksiin, vaan häkellyttävän yksinkertaiseen ajatukseen: asennutaan sinne ohjelmistoon, joka päättää, kuka saa kirjautua sisään .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Operaatio Highland paljastaa vuosikymmenen kestäneen kybervakoilun – takaportti löytyi sieltä, mistä kukaan ei osannut etsiä"?
Sygnian Operaatio Highland tutkinta paljasti, että Kiinaan yhdistetty Velvet Ant ryhmä pysyi piilossa eristetyssä verkossa lähes vuosikymmenen korvaamalla Linuxin pam unix.so moduuleja ja OpenSSH binäärejä manipuloidu...
What are the key points to validate first?
Sygnian Operaatio Highland tutkinta paljasti, että Kiinaan yhdistetty Velvet Ant ryhmä pysyi piilossa eristetyssä verkossa lähes vuosikymmenen korvaamalla Linuxin pam unix.so moduuleja ja OpenSSH binäärejä manipuloidu... Tavanomaiset torjuntatoimet, kuten haitallisten tiedostojen poisto, prosessien sammuttaminen ja salasanojen vaihto, osoittautuivat täysin hyödyttömiksi, koska manipuloidut autentikointitiedostot vaikuttivat metatiedoi...
What should I do next in practice?
Ryhmän toimintatapa perustuu äärimmäiseen kärsivällisyyteen ja käyttöjärjestelmän luotetun autentikointiarkkitehtuurin valjastamiseen.
Operaatio Highland paljastaa vuosikymmenen kestäneen kybervakoilun – takaportti löytyi sieltä, mistä kukaan ei osannut etsiä
Sygnian Operaatio Highland tutkinta paljasti, että Kiinaan yhdistetty Velvet Ant ryhmä pysyi piilossa eristetyssä verkossa lähes vuosikymmenen korvaamalla Linuxin pam unix.so moduuleja ja OpenSSH binäärejä manipuloidu... Tavanomaiset torjuntatoimet, kuten haitallisten tiedostojen poisto, prosessien sammuttaminen ja...
JulkaisijaMuokattu mallilla DeepSeek-V4-ProKuvat luotu mallilla GPT Image 1.5
Sygnian Operaatio Highland tutkinta paljasti, että Kiinaan yhdistetty Velvet Ant ryhmä pysyi piilossa eristetyssä verkossa lähes vuosikymmenen korvaamalla Linuxin pam unix.so moduuleja ja OpenSSH binäärejä manipuloidu...
Tavanomaiset torjuntatoimet, kuten haitallisten tiedostojen poisto, prosessien sammuttaminen ja salasanojen vaihto, osoittautuivat täysin hyödyttömiksi, koska manipuloidut autentikointitiedostot vaikuttivat metatiedoi...
Ryhmän toimintatapa perustuu äärimmäiseen kärsivällisyyteen ja käyttöjärjestelmän luotetun autentikointiarkkitehtuurin valjastamiseen.
What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and mVelvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com
Israelilainen tapahtumiin reagoiva Sygnia-tietoturvayhtiö on julkaissut Operaatio Highland -tutkinnan tulokset. Raportti paljastaa yhden kurinalaisimmista ja pitkäkestoisimmista kybervakoiluoperaatioista moneen vuoteen. Sygnia yhdistää toiminnan suurella varmuudella Kiinaan kytköksissä olevaan uhkaryhmään, jota se kutsuu nimellä Velvet Ant . Operaation teho ei perustu uusiin haavoittuvuuksiin, vaan häkellyttävän yksinkertaiseen ajatukseen: asennutaan sinne ohjelmistoon, joka päättää, kuka saa kirjautua sisään .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Operaatio Highland paljastaa vuosikymmenen kestäneen kybervakoilun – takaportti löytyi sieltä, mistä kukaan ei osannut etsiä"?
Sygnian Operaatio Highland tutkinta paljasti, että Kiinaan yhdistetty Velvet Ant ryhmä pysyi piilossa eristetyssä verkossa lähes vuosikymmenen korvaamalla Linuxin pam unix.so moduuleja ja OpenSSH binäärejä manipuloidu...
What are the key points to validate first?
Sygnian Operaatio Highland tutkinta paljasti, että Kiinaan yhdistetty Velvet Ant ryhmä pysyi piilossa eristetyssä verkossa lähes vuosikymmenen korvaamalla Linuxin pam unix.so moduuleja ja OpenSSH binäärejä manipuloidu... Tavanomaiset torjuntatoimet, kuten haitallisten tiedostojen poisto, prosessien sammuttaminen ja salasanojen vaihto, osoittautuivat täysin hyödyttömiksi, koska manipuloidut autentikointitiedostot vaikuttivat metatiedoi...
What should I do next in practice?
Ryhmän toimintatapa perustuu äärimmäiseen kärsivällisyyteen ja käyttöjärjestelmän luotetun autentikointiarkkitehtuurin valjastamiseen.
Kuinka vuosikymmenen mittainen tunkeutuminen eteni
Tutkinnan kohteena olleella verkolla ei ollut suoraa internetyhteyttä, ja siellä käsiteltiin erittäin arkaluontoisia tietoja. Sygnian oikeuslääketieteellinen aikajana osoittaa, että hyökkääjät saivat jalansijan verkossa viimeistään vuonna 2016, mikä tarkoittaa lähes kymmenen vuoden mittaista piileskelyaikaa .
Sisäänpääsy. Murtautuminen tapahtui todennäköisesti verkon reunalla sijainneen, päivittämättömän F5 BIG-IP -kuormantasauslaitteen kautta. Tämä vanhentunut laite oli jäänyt organisaation käyttöön, ja sen avulla hyökkääjät pääsivät etenemään verkossa aina ilmaraolla suojattuun sisäverkkoon asti .
Takaportti, jota kukaan ei nähnyt
Sen sijaan, että ryhmä olisi asentanut verkkoon haittaohjelmia, jotka virustorjunta voisi havaita, Velvet Ant valjasti käyttöönsä itse käyttöjärjestelmän luotetun arkkitehtuurin. Kymmenissä palvelimissa ryhmä korvasi järjestelmällisesti Linuxin keskeiset autentikointikomponentit – erityisesti pam_unix.so-todennusmoduulin (Pluggable Authentication Module) ja useita OpenSSH-binäärejä – manipuloiduilla versioilla .
Tämä vaihdos tarjosi kaksi toimintoa yhdellä istutteella:
Yleisavainsalasanan ohitus. Takaporteilla varustetut moduulit sisälsivät kovakoodatun salaisen salasanan. Millä tahansa käyttäjätilillä pystyi kirjautumaan pelkästään tällä salasanalla, ohittaen täysin normaalin varmennusprosessin. Vaikka järjestelmänvalvojat olisivat vaihtaneet jokaisen salasanan, hyökkääjät olisivat silti päässeet sisään kuin ovesta kävellen .
Hiljainen salasanojen kerääminen. Jokainen laillinen kirjautumistapahtuma kaapattiin reaaliajassa. Jokaisen verkon käyttäjän kirjoittama salasana tallennettiin selkokielisenä piilotettuun tiedostoon /usr/share/awk/nullfile.awk. Näin Velvet Ant keräsi jatkuvasti toimivia tunnuksia ilman, että se aiheutti verkkoliikenteeseen turhaa hälyä .
Miksi tavalliset siivoustoimet epäonnistuivat
Perinteiset tietoturvapoikkeamien torjuntaoppaat eivät ole rakennettu vihollista varten, joka on kääntänyt käyttöjärjestelmäsi kirjautumisohjelmiston uusiksi. Sygnian raportti tekee selväksi, miksi ensimmäiset puhdistusyritykset menivät pieleen:
Torjunnan katvealue. Vakiomenetelmä – epäilyttävien tiedostojen poisto, haitallisten prosessien sammuttaminen ja kaikkien salasanojen vaihto – ei vaikuttanut mitenkään hyökkääjän ensisijaiseen pysyvyysmekanismiin. Muokatut pam_unix.so ja SSH-binäärit olivat kaikin puolin laillisia järjestelmätiedostoja – lukuun ottamatta niiden käännettyä logiikkaa .
Metatietojen peittely. Hyökkääjät säilyttivät alkuperäiset tiedostonimet, polut, aikaleimat ja suunnilleen samat tiedostokoot. Yritysympäristöissä yleiset eheystarkistukset, jotka perustuvat pelkkiin metatietoihin, eivät nähneet mitään poikkeavaa .
Salasanan vaihtamisen hyödyttömyys. Koska kovakoodattu yleisavainsalasana asui itse todennusmoduulin sisällä, käyttäjien tunnusten vaihtaminen ei estänyt hyökkääjää mitenkään .
Itsestään palautuva rakenne. Tutkinnan aikana kerätty näyttö viittasi siihen, että takaportti oli suunniteltu selviämään osittaisesta korjauksesta. Jos tietoturvatiimi siivosi osan koneista, mutta jätti autentikointipinon murretuksi toisaalla, ryhmä pystyi liikkumaan sivusuunnassa ja saastuttamaan korjatut koneet uudelleen .
Sygnian lopullinen korjausaskel oli yksiselitteinen: jokaisen saastuneen palvelimen käyttöjärjestelmä oli rakennettava kokonaan uudelleen tunnetusti puhtaalta, kirjoitussuojatulta medialta. Valikoiva tiedostojen poisto tai osittainen uudelleenasennus ei riittänyt .
Velvet Antin toimintatapa
Velvet Antin menestys ei perustu eksoottisiin hyökkäysketjuihin. Ryhmä osoittaa kypsää toimintamallia, joka nojaa kärsivällisyyteen ja naamioitumiseen autentikointikerrokseen.
Toimintamalli
Havaittu käytös
Verkon reunalta sisään
Hyödyntää päivittämättömiä yrityslaitteita – erityisesti F5 BIG-IP -kuormantasaajia ja Ciscon Nexus-kytkimiä –, jotka ovat alttiina internetille, ponnahduslautoina sisäverkkoon .
Autentikoinnin valjastaminen implantiksi
Välttää perinteisten etähallintatroijalaisten (Remote Access Trojans, RAT) käyttöä ja korvaa sen sijaan Linux-koneiden käyttäjien kirjautumiset tarkastavat komponentit .
Päällekkäinen, hajautettu pysyvyys
Ylläpitää useita jalansijoja eri verkon osissa, jotta yhden pääsypisteen menettäminen ei katkaise operaatiota .
"Maastossa eläminen"
Liikkuu verkossa varastettujen tunnusten ja tavallisten järjestelmänhallinnan työkalujen, kuten SSH:n, avulla jättäen mahdollisimman vähän tunnistettavia haittaohjelmajälkiä .
Teollisen mittakaavan salasanakeräys
Kaappaa selkokieliset salasanat jokaisesta onnistuneesta kirjautumisesta verkossa keräten tasaisesti käyttökelpoisia tunnuksia ilman ylimääräistä verkkohälyä .
Äärimmäinen viipymäaika
Operoi vuosia, ei päiviä tai viikkoja. Tämä matala ja hidas tahti tarkoittaa, että lyhyet lokien säilytysajat ja rutiinihuollot voivat pyyhkiä rikostekniset todisteet .
Kohdistus ja liitännäinen toiminta
Sygnia attribuoi Operaatio Highlandin suurella varmuudella Velvet Ant -ryhmälle ja yhdistää sen Kiinan valtiollisiin vakoilutavoitteisiin . Ryhmä keskittyy suuriin organisaatioihin Itä-Aasiassa, erityisesti tietoliikennealan toimijoihin ja kriittiseen infrastruktuuriin .
Aiemmat ja rinnakkaiset kampanjat antavat lisäkontekstia. Erillisessä tapauksessa Velvet Ant käytti vanhentuneita F5 BIG-IP -laitteita etähallintapalveliminaan (Command & Control, C2) vähintään kolmen vuoden ajan ennen kuin Sygnian tutkimus paljasti toiminnan . Ryhmän on havaittu aiemmissa tunkeutumisissa hyödyntäneen myös PlugX- ja ShadowPad-haittaohjelmia, mikä kertoo laajasta työkalupakista, joka sisältää sekä räätälöityjä että julkisesti saatavilla olevia kyvykkyyksiä .
Mitä puolustajien tulisi tehdä nyt
Operaatio Highlandin tärkein oppi on se, etteivät perinteinen päätelaitesuojaus ja salasanojen vaihto riitä, kun itse autentikointipino on epäluotettava.
Puolustajien tulisi ensisijaisesti ottaa käyttöön tiedostojen eheyden valvonta, joka vertaa kriittisten järjestelmän binääritiedostojen – mukaan lukien /lib/security/pam_unix.so ja SSH-palvelimen binäärien – kryptografisia tiivisteitä (hash) tunnettuihin, puhtaisiin perustasoihin, ei pelkkiin metatietoihin. Kaikkien autentikointitapahtumien keskittäminen muuttamattomaan, ulkoiseen lokijärjestelmään on myös olennaista, sillä riittävät oikeudet omaava hyökkääjä voi peukaloida isäntäkoneen omia lokeja. Monivaiheinen tunnistautuminen (MFA) on arvokas suojamuuri, mutta se ei sellaisenaan suojaa manipuloidulta PAM-palvelulta, joka ohittaa kaikki varmennustarkastukset.
Operaatio Highland osoittaa, ettei vaarallisin pysyvyysmekanismi näytä lainkaan haittaohjelmalta – se näyttää siltä kirjautumisruudulta, johon luotat joka päivä.
imda.gov.sgBackdoor exploit against telecom systems
Kuinka vuosikymmenen mittainen tunkeutuminen eteni
Tutkinnan kohteena olleella verkolla ei ollut suoraa internetyhteyttä, ja siellä käsiteltiin erittäin arkaluontoisia tietoja. Sygnian oikeuslääketieteellinen aikajana osoittaa, että hyökkääjät saivat jalansijan verkossa viimeistään vuonna 2016, mikä tarkoittaa lähes kymmenen vuoden mittaista piileskelyaikaa .
Sisäänpääsy. Murtautuminen tapahtui todennäköisesti verkon reunalla sijainneen, päivittämättömän F5 BIG-IP -kuormantasauslaitteen kautta. Tämä vanhentunut laite oli jäänyt organisaation käyttöön, ja sen avulla hyökkääjät pääsivät etenemään verkossa aina ilmaraolla suojattuun sisäverkkoon asti .
Takaportti, jota kukaan ei nähnyt
Sen sijaan, että ryhmä olisi asentanut verkkoon haittaohjelmia, jotka virustorjunta voisi havaita, Velvet Ant valjasti käyttöönsä itse käyttöjärjestelmän luotetun arkkitehtuurin. Kymmenissä palvelimissa ryhmä korvasi järjestelmällisesti Linuxin keskeiset autentikointikomponentit – erityisesti pam_unix.so-todennusmoduulin (Pluggable Authentication Module) ja useita OpenSSH-binäärejä – manipuloiduilla versioilla .
Tämä vaihdos tarjosi kaksi toimintoa yhdellä istutteella:
Yleisavainsalasanan ohitus. Takaporteilla varustetut moduulit sisälsivät kovakoodatun salaisen salasanan. Millä tahansa käyttäjätilillä pystyi kirjautumaan pelkästään tällä salasanalla, ohittaen täysin normaalin varmennusprosessin. Vaikka järjestelmänvalvojat olisivat vaihtaneet jokaisen salasanan, hyökkääjät olisivat silti päässeet sisään kuin ovesta kävellen .
Hiljainen salasanojen kerääminen. Jokainen laillinen kirjautumistapahtuma kaapattiin reaaliajassa. Jokaisen verkon käyttäjän kirjoittama salasana tallennettiin selkokielisenä piilotettuun tiedostoon /usr/share/awk/nullfile.awk. Näin Velvet Ant keräsi jatkuvasti toimivia tunnuksia ilman, että se aiheutti verkkoliikenteeseen turhaa hälyä .
Miksi tavalliset siivoustoimet epäonnistuivat
Perinteiset tietoturvapoikkeamien torjuntaoppaat eivät ole rakennettu vihollista varten, joka on kääntänyt käyttöjärjestelmäsi kirjautumisohjelmiston uusiksi. Sygnian raportti tekee selväksi, miksi ensimmäiset puhdistusyritykset menivät pieleen:
Torjunnan katvealue. Vakiomenetelmä – epäilyttävien tiedostojen poisto, haitallisten prosessien sammuttaminen ja kaikkien salasanojen vaihto – ei vaikuttanut mitenkään hyökkääjän ensisijaiseen pysyvyysmekanismiin. Muokatut pam_unix.so ja SSH-binäärit olivat kaikin puolin laillisia järjestelmätiedostoja – lukuun ottamatta niiden käännettyä logiikkaa .
Metatietojen peittely. Hyökkääjät säilyttivät alkuperäiset tiedostonimet, polut, aikaleimat ja suunnilleen samat tiedostokoot. Yritysympäristöissä yleiset eheystarkistukset, jotka perustuvat pelkkiin metatietoihin, eivät nähneet mitään poikkeavaa .
Salasanan vaihtamisen hyödyttömyys. Koska kovakoodattu yleisavainsalasana asui itse todennusmoduulin sisällä, käyttäjien tunnusten vaihtaminen ei estänyt hyökkääjää mitenkään .
Itsestään palautuva rakenne. Tutkinnan aikana kerätty näyttö viittasi siihen, että takaportti oli suunniteltu selviämään osittaisesta korjauksesta. Jos tietoturvatiimi siivosi osan koneista, mutta jätti autentikointipinon murretuksi toisaalla, ryhmä pystyi liikkumaan sivusuunnassa ja saastuttamaan korjatut koneet uudelleen .
Sygnian lopullinen korjausaskel oli yksiselitteinen: jokaisen saastuneen palvelimen käyttöjärjestelmä oli rakennettava kokonaan uudelleen tunnetusti puhtaalta, kirjoitussuojatulta medialta. Valikoiva tiedostojen poisto tai osittainen uudelleenasennus ei riittänyt .
Velvet Antin toimintatapa
Velvet Antin menestys ei perustu eksoottisiin hyökkäysketjuihin. Ryhmä osoittaa kypsää toimintamallia, joka nojaa kärsivällisyyteen ja naamioitumiseen autentikointikerrokseen.
Toimintamalli
Havaittu käytös
Verkon reunalta sisään
Hyödyntää päivittämättömiä yrityslaitteita – erityisesti F5 BIG-IP -kuormantasaajia ja Ciscon Nexus-kytkimiä –, jotka ovat alttiina internetille, ponnahduslautoina sisäverkkoon .
Autentikoinnin valjastaminen implantiksi
Välttää perinteisten etähallintatroijalaisten (Remote Access Trojans, RAT) käyttöä ja korvaa sen sijaan Linux-koneiden käyttäjien kirjautumiset tarkastavat komponentit .
Päällekkäinen, hajautettu pysyvyys
Ylläpitää useita jalansijoja eri verkon osissa, jotta yhden pääsypisteen menettäminen ei katkaise operaatiota .
"Maastossa eläminen"
Liikkuu verkossa varastettujen tunnusten ja tavallisten järjestelmänhallinnan työkalujen, kuten SSH:n, avulla jättäen mahdollisimman vähän tunnistettavia haittaohjelmajälkiä .
Teollisen mittakaavan salasanakeräys
Kaappaa selkokieliset salasanat jokaisesta onnistuneesta kirjautumisesta verkossa keräten tasaisesti käyttökelpoisia tunnuksia ilman ylimääräistä verkkohälyä .
Äärimmäinen viipymäaika
Operoi vuosia, ei päiviä tai viikkoja. Tämä matala ja hidas tahti tarkoittaa, että lyhyet lokien säilytysajat ja rutiinihuollot voivat pyyhkiä rikostekniset todisteet .
Kohdistus ja liitännäinen toiminta
Sygnia attribuoi Operaatio Highlandin suurella varmuudella Velvet Ant -ryhmälle ja yhdistää sen Kiinan valtiollisiin vakoilutavoitteisiin . Ryhmä keskittyy suuriin organisaatioihin Itä-Aasiassa, erityisesti tietoliikennealan toimijoihin ja kriittiseen infrastruktuuriin .
Aiemmat ja rinnakkaiset kampanjat antavat lisäkontekstia. Erillisessä tapauksessa Velvet Ant käytti vanhentuneita F5 BIG-IP -laitteita etähallintapalveliminaan (Command & Control, C2) vähintään kolmen vuoden ajan ennen kuin Sygnian tutkimus paljasti toiminnan . Ryhmän on havaittu aiemmissa tunkeutumisissa hyödyntäneen myös PlugX- ja ShadowPad-haittaohjelmia, mikä kertoo laajasta työkalupakista, joka sisältää sekä räätälöityjä että julkisesti saatavilla olevia kyvykkyyksiä .
Mitä puolustajien tulisi tehdä nyt
Operaatio Highlandin tärkein oppi on se, etteivät perinteinen päätelaitesuojaus ja salasanojen vaihto riitä, kun itse autentikointipino on epäluotettava.
Puolustajien tulisi ensisijaisesti ottaa käyttöön tiedostojen eheyden valvonta, joka vertaa kriittisten järjestelmän binääritiedostojen – mukaan lukien /lib/security/pam_unix.so ja SSH-palvelimen binäärien – kryptografisia tiivisteitä (hash) tunnettuihin, puhtaisiin perustasoihin, ei pelkkiin metatietoihin. Kaikkien autentikointitapahtumien keskittäminen muuttamattomaan, ulkoiseen lokijärjestelmään on myös olennaista, sillä riittävät oikeudet omaava hyökkääjä voi peukaloida isäntäkoneen omia lokeja. Monivaiheinen tunnistautuminen (MFA) on arvokas suojamuuri, mutta se ei sellaisenaan suojaa manipuloidulta PAM-palvelulta, joka ohittaa kaikki varmennustarkastukset.
Operaatio Highland osoittaa, ettei vaarallisin pysyvyysmekanismi näytä lainkaan haittaohjelmalta – se näyttää siltä kirjautumisruudulta, johon luotat joka päivä.
imda.gov.sgBackdoor exploit against telecom systems
