מבצע היילנד: כך הסתתרה קבוצת הריגול הסינית Velvet Ant בתוכנת ההתחברות ללינוקס במשך עשור

חברת התגובה לאירועי סייבר Sygnia, שמרכזה בישראל, פרסמה ממצאים מחקירה המכונה "מבצע היילנד" (Operation Highland), החושפת את אחד מקמפיינים הריגול הממושמעים וארוכי הטווח ביותר בזיכרון האחרון. הפעילות מיוחסת ברמת ודאות גבוהה לקבוצת איום המזוהה עם סין, אותה מכנה Sygnia בשם Velvet Ant. המבצע אינו מוגדר על ידי ניצול אפס-יום חדשני אחד, אלא על ידי רעיון פשוט וחסר רחמים: לחיות בתוך התוכנה שקובעת למי מותר להתחבר.

הפלישה רבת השנים, צעד אחר צעד

רשת הקורבן לא הייתה מחוברת ישירות לאינטרנט ואיכלסה מערכות רגישות ביותר. ציר הזמן הפורנזי של Sygnia מצביע על כך שהתוקפים השיגו דריסת רגל לפחות החל משנת 2016, מה שהעניק לקבוצה כמעט עשור של שהייה סמויה בתוך הסביבה .

נקודת הכניסה הראשונית. הפרצה החלה ככל הנראה דרך מכשיר F5 BIG-IP ישן וחשוף לאינטרנט, שהארגון לא הספיק להחליף. ברגע שהתוקפים השיגו שליטה על המכשיר, הם השתמשו בו כנקודת ציר כדי לנוע עמוק יותר פנימה – ולבסוף להגיע למקטע הפנימי המנותק לחלוטין מהרשת החיצונית .

כיצד פעלה הדלת האחורית

במקום להפיל תוכנה זדונית ייעודית שסורקי קבצים או מערכות הגנת קצה עלולים לזהות בסופו של דבר, Velvet Ant חתרה תחת ארכיטקטורת האמון של מערכת ההפעלה עצמה. על פני עשרות שרתים, הקבוצה החליפה באופן שיטתי רכיבי אימות לינוקס מרכזיים – באופן ספציפי, את המודול pam_unix.so (האחראי על בדיקת סיסמאות) ומספר קבצים בינאריים של OpenSSH – בגרסאות נגועות שהוחדרה להן דלת אחורית .

החלפה זו סיפקה שתי יכולות עיקריות משתל יחיד:

1. עקיפת אימות באמצעות סיסמת-על. המודולים הנגועים הכילו סיסמה סודית ומקודדת. ניתן היה לגשת לכל חשבון משתמש באמצעות סיסמה זו בלבד, תוך עקיפה מוחלטת של מנגנון האימות הרגיל. אפילו אם מנהלי המערכת היו מחליפים את כל סיסמאות המשתמשים, התוקפים עדיין היו יכולים להיכנס דרך הדלת הראשית .
2. קציר אישורים שקט. כל אירוע התחברות לגיטימי נלכד בזמן אמת. הסיסמאות הברורות של כל משתמש מאומת נכתבו לקובץ מוסתר במיקום /usr/share/awk/nullfile.awk. זה איפשר ל-Velvet Ant לאסוף אישורי גישה תקפים של כלל המשתמשים בארגון מבלי ליצור רעש תקשורתי נוסף שיעיד על תנועה צידית .

מדוע ניקוי סטנדרטי נכשל

נהלי תגובת אירועים מסורתיים לא בנויים להתמודדות עם אויב שהדר מחדש את קבצי ההתחברות של מערכת ההפעלה שלך. הדו"ח של Sygnia מבהיר מדוע ניסיונות הניקוי הראשונים נכשלו:

• פער ניקוי. תהליך העבודה הסטנדרטי – הסרת קבצים חשודים, עצירת תהליכים זדוניים, החלפת כל הסיסמאות – השפיע אפס על מנגנון ההתמדה העיקרי של התוקף. קבצי pam_unix.so וה-SSH הנגועים היו קבצי מערכת לגיטימיים לכל דבר, למעט הלוגיקה המהודרת שלהם .
• הסוואת מטא-דאטה. התוקפים שמרו על שמות הקבצים המקוריים, הנתיבים, חותמות הזמן, ואף על גודל קובץ דומה. כל בדיקת שלמות קבצים שהסתמכה אך ורק על מטא-דאטה – דבר נפוץ בסביבות ארגוניות רבות – לא ראתה שום דבר חריג .
• חוסר התוחלת שבהחלפת סיסמאות. מכיוון שהסיסמה המקודדת שעקפה את האימות נמצאה בתוך מודול האימות עצמו, איפוס סיסמאות המשתמשים לא תרם דבר לנעילת התוקפים בחוץ .
• עיצוב משחזר את עצמו. ראיות שנאספו במהלך החקירה הצביעו על כך שהדלת האחורית נבנתה לשרוד תיקון חלקי. אם צוות האבטחה ניקה מספר שרתים אך השאיר את מנגנון האימות נגוע באחרים, הקבוצה יכלה לנוע שוב צידית ולתקוף מחדש את השרתים שנבנו מחדש .

שלב התיקון האולטימטיבי של Sygnia היה חד-משמעי: הרשת דרשה בנייה מחדש מלאה של מערכת ההפעלה בכל שרת נגוע, ממדיה לקריאה בלבד שידועה כנקייה. הסרה סלקטיבית של קבצים או בנייה חלקית מחדש לא הספיקו .

דפוס הפעולה

הצלחתה של Velvet Ant אינה נשענת על שרשראות תקיפה אקזוטיות. במקום זאת, הקבוצה מפגינה ספר הפעלה מבצעי בוגר המתמקד בסבלנות והסוואה בתוך שכבת האימות.

דפוס פעולה	התנהגות שנצפתה
חדירה דרך קצה הרשת	ניצול מכשירי Enterprise ישנים – בעיקר F5 BIG-IP ומתגי Cisco Nexus – החשופים לאינטרנט כראשי גשר אל תוך הרשתות הפנימיות .
חבלה במנגנון האימות כשתל עיקרי	המנעות מפריסת סוסים טרויאניים סטנדרטיים לגישה מרחוק (RATs) על גבי תחנות הקצה, ובמקום זאת החלפת הרכיבים שמאמתים התחברויות משתמש ברחבי כל צי שרתי הלינוקס .
רשת התמדה מיותרת	שמירה על דריסות רגל מרובות על פני מקטעי רשת שונים, כך שאובדן נקודת גישה אחת – או אפילו מכשיר תקשורת שלם – אינו מסיים את המבצע .
חיים על חשבון הסביבה (Living-off-the-land)	תנועה צידית באמצעות אישורים גנובים וכלי ניהול מקומיים כמו SSH, תוך השארת כמות מזערית של תוכנות זדוניות מותאמות אישית שכלי גילוי יכולים לזהות .
קציר אישורים בקנה מידה תעשייתי	לכידת סיסמאות בטקסט ברור מכל התחברות מוצלחת ברשת, צבירה מתמדת של זהויות תקפות ללא כל רעש רשת נוסף .
זמן שהייה קיצוני	מבצעים על פני שנים במקום ימים או שבועות. משמעות הקצב האיטי הזה היא שחלונות שמירת לוגים קצרים ותחזוקת מערכת שוטפת יכולים למחוק ראיות פורנזיות .

ייחוס ופעילות קשורה

Sygnia מייחסת את מבצע היילנד ל-Velvet Ant ברמת ודאות גבוהה, ומקשרת את הקבוצה למטרות ריגול בחסות מדינת סין . הקבוצה מתמקדת בארגונים גדולים במזרח אסיה, במיוחד ספקי טלקומוניקציה ותשתיות קריטיות .

קמפיינים קודמים ומקבילים מספקים הקשר נוסף. במקרה נפרד, Velvet Ant השתמשה במכשירי F5 BIG-IP ישנים כמתווכי Command-and-Control (C2) למשך שלוש שנים לפחות לפני שחקירת Sygnia חשפה את הפעילות . הקבוצה גם נצפתה מפיצה תוכנות זדוניות כמו PlugX ו-ShadowPad במהלך חדירות מוקדמות יותר, מה שמצביע על ארגז כלים רחב הכולל יכולות מותאמות אישית לצד יכולות זמינות לציבור .

מה על צוותי הגנה לעשות כעת

לקח ההגנה החשוב ביותר ממבצע היילנד הוא שהגנת קצה מסורתית והחלפת אישורים אינן מספיקות כאשר מנגנון האימות עצמו אינו אמין.

צוותי הגנה חייבים לתת עדיפות לניטור שלמות קבצים המשווה גיבובים קריפטוגרפיים (hashes) של קבצים בינאריים קריטיים – כולל /lib/security/pam_unix.so וקובצי שירות SSH – מול בסיס ייחוס נקי וידוע, ולא רק להסתמך על מטא-דאטה של הקובץ. תיעוד כל אירועי האימות באופן מרכזי למערכת חיצונית שאינה ניתנת לשינוי חיוני גם הוא, שכן תוקף בעל הרשאות מספקות יכול לחבל בלוגים הנמצאים על השרת עצמו. אימות רב-שלבי נותר מחסום חשוב, אך הוא אינו מגן ישירות מפני שירות PAM נגוע שעוקף לחלוטין את בדיקות האימות.

מבצע היילנד מראה שההתמדה המסוכנת ביותר כלל אינה נראית כמו נוזקה – היא נראית בדיוק כמו חלון ההתחברות שאתם סומכים עליו מדי יום.