כיצד פעלה הדלת האחורית

במקום להפיל תוכנה זדונית ייעודית שסורקי קבצים או מערכות הגנת קצה עלולים לזהות בסופו של דבר, Velvet Ant חתרה תחת ארכיטקטורת האמון של מערכת ההפעלה עצמה. על פני עשרות שרתים, הקבוצה החליפה באופן שיטתי רכיבי אימות לינוקס מרכזיים – באופן ספציפי, את המודול pam_unix.so (האחראי על בדיקת סיסמאות) ומספר קבצים בינאריים של OpenSSH – בגרסאות נגועות שהוחדרה להן דלת אחורית .

החלפה זו סיפקה שתי יכולות עיקריות משתל יחיד:

1. עקיפת אימות באמצעות סיסמת-על. המודולים הנגועים הכילו סיסמה סודית ומקודדת. ניתן היה לגשת לכל חשבון משתמש באמצעות סיסמה זו בלבד, תוך עקיפה מוחלטת של מנגנון האימות הרגיל. אפילו אם מנהלי המערכת היו מחליפים את כל סיסמאות המשתמשים, התוקפים עדיין היו יכולים להיכנס דרך הדלת הראשית .
2. קציר אישורים שקט. כל אירוע התחברות לגיטימי נלכד בזמן אמת. הסיסמאות הברורות של כל משתמש מאומת נכתבו לקובץ מוסתר במיקום /usr/share/awk/nullfile.awk. זה איפשר ל-Velvet Ant לאסוף אישורי גישה תקפים של כלל המשתמשים בארגון מבלי ליצור רעש תקשורתי נוסף שיעיד על תנועה צידית .

מדוע ניקוי סטנדרטי נכשל

נהלי תגובת אירועים מסורתיים לא בנויים להתמודדות עם אויב שהדר מחדש את קבצי ההתחברות של מערכת ההפעלה שלך. הדו"ח של Sygnia מבהיר מדוע ניסיונות הניקוי הראשונים נכשלו:

• פער ניקוי. תהליך העבודה הסטנדרטי – הסרת קבצים חשודים, עצירת תהליכים זדוניים, החלפת כל הסיסמאות – השפיע אפס על מנגנון ההתמדה העיקרי של התוקף. קבצי pam_unix.so וה-SSH הנגועים היו קבצי מערכת לגיטימיים לכל דבר, למעט הלוגיקה המהודרת שלהם .
• הסוואת מטא-דאטה. התוקפים שמרו על שמות הקבצים המקוריים, הנתיבים, חותמות הזמן, ואף על גודל קובץ דומה. כל בדיקת שלמות קבצים שהסתמכה אך ורק על מטא-דאטה – דבר נפוץ בסביבות ארגוניות רבות – לא ראתה שום דבר חריג .
• חוסר התוחלת שבהחלפת סיסמאות. מכיוון שהסיסמה המקודדת שעקפה את האימות נמצאה בתוך מודול האימות עצמו, איפוס סיסמאות המשתמשים לא תרם דבר לנעילת התוקפים בחוץ .
• עיצוב משחזר את עצמו. ראיות שנאספו במהלך החקירה הצביעו על כך שהדלת האחורית נבנתה לשרוד תיקון חלקי. אם צוות האבטחה ניקה מספר שרתים אך השאיר את מנגנון האימות נגוע באחרים, הקבוצה יכלה לנוע שוב צידית ולתקוף מחדש את השרתים שנבנו מחדש .

שלב התיקון האולטימטיבי של Sygnia היה חד-משמעי: הרשת דרשה בנייה מחדש מלאה של מערכת ההפעלה בכל שרת נגוע, ממדיה לקריאה בלבד שידועה כנקייה. הסרה סלקטיבית של קבצים או בנייה חלקית מחדש לא הספיקו .

דפוס הפעולה

הצלחתה של Velvet Ant אינה נשענת על שרשראות תקיפה אקזוטיות. במקום זאת, הקבוצה מפגינה ספר הפעלה מבצעי בוגר המתמקד בסבלנות והסוואה בתוך שכבת האימות.

ייחוס ופעילות קשורה

Sygnia מייחסת את מבצע היילנד ל-Velvet Ant ברמת ודאות גבוהה, ומקשרת את הקבוצה למטרות ריגול בחסות מדינת סין . הקבוצה מתמקדת בארגונים גדולים במזרח אסיה, במיוחד ספקי טלקומוניקציה ותשתיות קריטיות .

קמפיינים קודמים ומקבילים מספקים הקשר נוסף. במקרה נפרד, Velvet Ant השתמשה במכשירי F5 BIG-IP ישנים כמתווכי Command-and-Control (C2) למשך שלוש שנים לפחות לפני שחקירת Sygnia חשפה את הפעילות . הקבוצה גם נצפתה מפיצה תוכנות זדוניות כמו PlugX ו-ShadowPad במהלך חדירות מוקדמות יותר, מה שמצביע על ארגז כלים רחב הכולל יכולות מותאמות אישית לצד יכולות זמינות לציבור .

מה על צוותי הגנה לעשות כעת

לקח ההגנה החשוב ביותר ממבצע היילנד הוא שהגנת קצה מסורתית והחלפת אישורים אינן מספיקות כאשר מנגנון האימות עצמו אינו אמין.

צוותי הגנה חייבים לתת עדיפות לניטור שלמות קבצים המשווה גיבובים קריפטוגרפיים (hashes) של קבצים בינאריים קריטיים – כולל /lib/security/pam_unix.so וקובצי שירות SSH – מול בסיס ייחוס נקי וידוע, ולא רק להסתמך על מטא-דאטה של הקובץ. תיעוד כל אירועי האימות באופן מרכזי למערכת חיצונית שאינה ניתנת לשינוי חיוני גם הוא, שכן תוקף בעל הרשאות מספקות יכול לחבל בלוגים הנמצאים על השרת עצמו. אימות רב-שלבי נותר מחסום חשוב, אך הוא אינו מגן ישירות מפני שירות PAM נגוע שעוקף לחלוטין את בדיקות האימות.

מבצע היילנד מראה שההתמדה המסוכנת ביותר כלל אינה נראית כמו נוזקה – היא נראית בדיוק כמו חלון ההתחברות שאתם סומכים עליו מדי יום.

כיצד פעלה הדלת האחורית

במקום להפיל תוכנה זדונית ייעודית שסורקי קבצים או מערכות הגנת קצה עלולים לזהות בסופו של דבר, Velvet Ant חתרה תחת ארכיטקטורת האמון של מערכת ההפעלה עצמה. על פני עשרות שרתים, הקבוצה החליפה באופן שיטתי רכיבי אימות לינוקס מרכזיים – באופן ספציפי, את המודול pam_unix.so (האחראי על בדיקת סיסמאות) ומספר קבצים בינאריים של OpenSSH – בגרסאות נגועות שהוחדרה להן דלת אחורית .

החלפה זו סיפקה שתי יכולות עיקריות משתל יחיד:

1. עקיפת אימות באמצעות סיסמת-על. המודולים הנגועים הכילו סיסמה סודית ומקודדת. ניתן היה לגשת לכל חשבון משתמש באמצעות סיסמה זו בלבד, תוך עקיפה מוחלטת של מנגנון האימות הרגיל. אפילו אם מנהלי המערכת היו מחליפים את כל סיסמאות המשתמשים, התוקפים עדיין היו יכולים להיכנס דרך הדלת הראשית .
2. קציר אישורים שקט. כל אירוע התחברות לגיטימי נלכד בזמן אמת. הסיסמאות הברורות של כל משתמש מאומת נכתבו לקובץ מוסתר במיקום /usr/share/awk/nullfile.awk. זה איפשר ל-Velvet Ant לאסוף אישורי גישה תקפים של כלל המשתמשים בארגון מבלי ליצור רעש תקשורתי נוסף שיעיד על תנועה צידית .

מדוע ניקוי סטנדרטי נכשל

נהלי תגובת אירועים מסורתיים לא בנויים להתמודדות עם אויב שהדר מחדש את קבצי ההתחברות של מערכת ההפעלה שלך. הדו"ח של Sygnia מבהיר מדוע ניסיונות הניקוי הראשונים נכשלו:

• פער ניקוי. תהליך העבודה הסטנדרטי – הסרת קבצים חשודים, עצירת תהליכים זדוניים, החלפת כל הסיסמאות – השפיע אפס על מנגנון ההתמדה העיקרי של התוקף. קבצי pam_unix.so וה-SSH הנגועים היו קבצי מערכת לגיטימיים לכל דבר, למעט הלוגיקה המהודרת שלהם .
• הסוואת מטא-דאטה. התוקפים שמרו על שמות הקבצים המקוריים, הנתיבים, חותמות הזמן, ואף על גודל קובץ דומה. כל בדיקת שלמות קבצים שהסתמכה אך ורק על מטא-דאטה – דבר נפוץ בסביבות ארגוניות רבות – לא ראתה שום דבר חריג .
• חוסר התוחלת שבהחלפת סיסמאות. מכיוון שהסיסמה המקודדת שעקפה את האימות נמצאה בתוך מודול האימות עצמו, איפוס סיסמאות המשתמשים לא תרם דבר לנעילת התוקפים בחוץ .
• עיצוב משחזר את עצמו. ראיות שנאספו במהלך החקירה הצביעו על כך שהדלת האחורית נבנתה לשרוד תיקון חלקי. אם צוות האבטחה ניקה מספר שרתים אך השאיר את מנגנון האימות נגוע באחרים, הקבוצה יכלה לנוע שוב צידית ולתקוף מחדש את השרתים שנבנו מחדש .

שלב התיקון האולטימטיבי של Sygnia היה חד-משמעי: הרשת דרשה בנייה מחדש מלאה של מערכת ההפעלה בכל שרת נגוע, ממדיה לקריאה בלבד שידועה כנקייה. הסרה סלקטיבית של קבצים או בנייה חלקית מחדש לא הספיקו .

דפוס הפעולה

הצלחתה של Velvet Ant אינה נשענת על שרשראות תקיפה אקזוטיות. במקום זאת, הקבוצה מפגינה ספר הפעלה מבצעי בוגר המתמקד בסבלנות והסוואה בתוך שכבת האימות.

ייחוס ופעילות קשורה

Sygnia מייחסת את מבצע היילנד ל-Velvet Ant ברמת ודאות גבוהה, ומקשרת את הקבוצה למטרות ריגול בחסות מדינת סין . הקבוצה מתמקדת בארגונים גדולים במזרח אסיה, במיוחד ספקי טלקומוניקציה ותשתיות קריטיות .

קמפיינים קודמים ומקבילים מספקים הקשר נוסף. במקרה נפרד, Velvet Ant השתמשה במכשירי F5 BIG-IP ישנים כמתווכי Command-and-Control (C2) למשך שלוש שנים לפחות לפני שחקירת Sygnia חשפה את הפעילות . הקבוצה גם נצפתה מפיצה תוכנות זדוניות כמו PlugX ו-ShadowPad במהלך חדירות מוקדמות יותר, מה שמצביע על ארגז כלים רחב הכולל יכולות מותאמות אישית לצד יכולות זמינות לציבור .

מה על צוותי הגנה לעשות כעת

לקח ההגנה החשוב ביותר ממבצע היילנד הוא שהגנת קצה מסורתית והחלפת אישורים אינן מספיקות כאשר מנגנון האימות עצמו אינו אמין.

צוותי הגנה חייבים לתת עדיפות לניטור שלמות קבצים המשווה גיבובים קריפטוגרפיים (hashes) של קבצים בינאריים קריטיים – כולל /lib/security/pam_unix.so וקובצי שירות SSH – מול בסיס ייחוס נקי וידוע, ולא רק להסתמך על מטא-דאטה של הקובץ. תיעוד כל אירועי האימות באופן מרכזי למערכת חיצונית שאינה ניתנת לשינוי חיוני גם הוא, שכן תוקף בעל הרשאות מספקות יכול לחבל בלוגים הנמצאים על השרת עצמו. אימות רב-שלבי נותר מחסום חשוב, אך הוא אינו מגן ישירות מפני שירות PAM נגוע שעוקף לחלוטין את בדיקות האימות.

מבצע היילנד מראה שההתמדה המסוכנת ביותר כלל אינה נראית כמו נוזקה – היא נראית בדיוק כמו חלון ההתחברות שאתם סומכים עליו מדי יום.