Operation Highland : comment Velvet Ant s'est cachée une décennie dans l’écran de connexion Linux

Comment fonctionnait la porte dérobée

Au lieu de déposer un malware sur mesure qu’un scanner de fichiers ou une solution de détection de point d’extrémité (EDR) pourrait finir par signaler, Velvet Ant a subverti l’architecture de confiance du système d’exploitation lui-même. Sur des dizaines de machines, le groupe a systématiquement remplacé les composants d’authentification centraux de Linux — spécifiquement le module d’authentification enfichable pam_unix.so et plusieurs binaires OpenSSH — par des versions piégées .

Cette substitution a fourni deux capacités à partir d’un seul implant :

1. Contournement par mot de passe maître. Les modules piégés contenaient un mot de passe secret codé en dur. N’importe quel compte utilisateur pouvait être utilisé avec ce seul mot de passe, contournant entièrement l’authentification normale. Même si les administrateurs changeaient tous les identifiants, les attaquants pouvaient toujours franchir la porte d’entrée .
2. Récolte silencieuse d’identifiants. Chaque événement de connexion légitime était capturé en temps réel. Les mots de passe en clair de chaque utilisateur s’authentifiant étaient écrits dans un fichier caché situé à l’emplacement /usr/share/awk/nullfile.awk. Cela a permis à Velvet Ant de collecter des identifiants valides sur l’ensemble de la base d’utilisateurs sans générer le bruit réseau habituel d’un mouvement latéral .

Pourquoi le nettoyage standard a échoué

Les manuels de réponse à incident traditionnels ne sont pas conçus pour un ennemi qui a recompilé les binaires de connexion de votre système d’exploitation. Le rapport de Sygnia explique clairement pourquoi les premières tentatives de nettoyage ont échoué :

• Angle mort du nettoyage. La procédure standard — supprimer les fichiers suspects, tuer les processus malveillants, changer tous les mots de passe — n’avait aucun effet sur le principal mécanisme de persistance de l’attaquant. Les fichiers pam_unix.so et les binaires SSH piégés étaient des fichiers système légitimes à tous égards, sauf dans leur logique compilée interne .
• Masquage des métadonnées. Les attaquants ont préservé les noms de fichiers, chemins, horodatages d’origine, et approximativement les mêmes tailles de fichier. Tout contrôle d’intégrité de fichier basé uniquement sur les métadonnées — une pratique courante dans de nombreux environnements d’entreprise — ne voyait rien d’anormal .
• Inutilité de la rotation des mots de passe. Puisque le mot de passe maître codé en dur résidait à l’intérieur du module d’authentification lui-même, réinitialiser les identifiants de chaque utilisateur n’a en rien bloqué l’adversaire .
• Conception auto-réinstallatrice. Les preuves recueillies durant l’enquête ont indiqué que la porte dérobée était conçue pour survivre à une remédiation partielle. Si l’équipe de sécurité nettoyait plusieurs machines, mais laissait la chaîne d’authentification compromise sur d’autres, le groupe pouvait se déplacer latéralement à nouveau et recompromettre les machines reconstruites .

L’étape ultime de remédiation de Sygnia était sans ambiguïté : le réseau a nécessité une reconstruction complète du système d’exploitation de chaque machine affectée à partir d’un support connu comme sain et en lecture seule. La suppression sélective de fichiers ou la réimagerie partielle était insuffisante .

Le schéma technique et opérationnel

Le succès de Velvet Ant ne repose pas sur des chaînes d’attaque exotiques. Le groupe fait au contraire preuve d’un manuel opérationnel mature, axé sur la patience et le camouflage dans la couche d’authentification.

Attribution et activités connexes

Sygnia attribue l’Operation Highland à Velvet Ant avec une confiance élevée et lie le groupe à des objectifs d’espionnage parrainés par l’État chinois . Le groupe se concentre sur les grandes organisations en Asie de l’Est, en particulier les fournisseurs de télécommunications et les infrastructures critiques .

Des campagnes antérieures et parallèles fournissent un contexte supplémentaire. Dans un cas distinct, Velvet Ant a utilisé des boîtiers F5 BIG-IP de génération antérieure comme serveurs mandataires (proxys) de commande et contrôle (C2) pendant au moins trois ans avant que l’enquête de Sygnia ne découvre l’activité . Le groupe a également été observé en train de déployer les malwares PlugX et ShadowPad lors d’intrusions précédentes, indiquant une large panoplie d’outils couvrant à la fois des capacités personnalisées et accessibles publiquement .

Ce que les défenseurs doivent faire maintenant

La leçon de défense la plus importante de l’Operation Highland est que la protection traditionnelle des terminaux et la rotation des identifiants ne suffisent pas lorsque la chaîne d’authentification elle-même n’est pas digne de confiance.

Les défenseurs doivent donner la priorité à la surveillance de l’intégrité des fichiers (File Integrity Monitoring) qui compare les empreintes cryptographiques (hashs) des binaires système critiques — y compris /lib/security/pam_unix.so et les binaires du démon SSH — à des références connues comme saines, et non pas seulement aux métadonnées des fichiers. La journalisation de tous les événements d’authentification de manière centralisée vers un système externe immuable est également essentielle, car un attaquant disposant d’un accès suffisant peut altérer les journaux sur la machine elle-même. L’authentification multifacteur (MFA) reste une barrière précieuse, mais elle ne protège pas directement contre un service PAM piégé qui contourne entièrement les vérifications d’authentification.

L’Operation Highland montre que la persistance la plus dangereuse ne ressemble pas du tout à un malware — elle ressemble à l’écran de connexion auquel vous faites confiance chaque jour.