उत्तरप्रकाशित18 स्रोत
ऑपरेशन हाइलैंड: कैसे एक चीनी हैकर ग्रुप ने लिनक्स के 'दरवाजे' में ही सेंध लगाकर दस साल तक राज खंगाले
सिग्निया की 'ऑपरेशन हाइलैंड' जाँच में पाया गया कि चीन से जुड़ा वेलवेट ऐंट ग्रुप एक संवेदनशील नेटवर्क में करीब एक दशक तक लिनक्स के pam unix.so मॉड्यूल और OpenSSH बायनरी को बदलकर छिपा रहा। फाइलें हटाने, प्रक्रियाएं खत्म करने और पासवर्ड बदलने जैसे मानक सुरक्षा उपाय पूरी तरह बेअसर साबित हुए, क्योंकि बैकडोर वाली सिस्टम फ...
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
इज़राइल स्थित साइबर सुरक्षा फर्म सिग्निया (Sygnia) ने 'ऑपरेशन हाइलैंड' नामक एक जाँच के नतीजे प्रकाशित किए हैं, जो हाल के वर्षों के सबसे अनुशासित और लंबे समय तक चले साइबर जासूसी अभियानों में से एक का खुलासा करती है। इस गतिविधि को पूरे विश्वास के साथ एक चीनी खतरा समूह से जोड़ा गया है, जिसे सिग्निया 'वेलवेट ऐंट' (Velvet Ant) के नाम से ट्रैक करती है। इस ऑपरेशन की खास बात कोई नई जीरो-डे खामी नहीं, बल्कि एक बेहद सरल विचार है: उस सॉफ्टवेयर के भीतर रहना जो तय करता है कि कौन लॉगिन कर सकता है।
एक दशक लंबी सेंध, कदम दर कदम
पीड़ित नेटवर्क का इंटरनेट से कोई सीधा कनेक्शन नहीं था और इसमें बेहद संवेदनशील सिस्टम थे। सिग्निया की फॉरेंसिक टाइमलाइन बताती है कि हमलावरों ने कम से कम 2016 में अपनी पैठ बना ली थी, जिससे समूह को लगभग एक दशक तक नेटवर्क के अंदर रहने का मौका मिला ।
शुरुआती प्रवेश बिंदु। सेंध की शुरुआत संभवतः इंटरनेट के सामने वाले एक पुराने और बिना पैच वाले F5 BIG-IP उपकरण के जरिए हुई, जिसे संगठन ने हटाया नहीं था। एक बार जब हमलावरों ने इस उपकरण पर नियंत्रण कर लिया, तो उन्होंने इसे गहराई में घुसने के लिए एक जरिए के रूप में इस्तेमाल किया—अंततः वे बिना इंटरनेट वाले आंतरिक नेटवर्क तक पहुँच गए ।
बैकडोर ने कैसे काम किया
फाइल स्कैनर या एंडपॉइंट डिटेक्शन द्वारा पकड़े जाने वाले सामान्य मैलवेयर का इस्तेमाल करने के बजाय, वेलवेट ऐंट ने ऑपरेटिंग सिस्टम की अपनी विश्वास संरचना को ही ध्वस्त कर दिया। समूह ने दर्जनों होस्ट पर लिनक्स के मुख्य प्रमाणीकरण घटकों—खासतौर पर pam_unix.so प्लगेबल ऑथेंटिकेशन मॉड्यूल और कई OpenSSH बायनरी—को बदलकर उनकी जगह 'ट्रोजनाइज़्ड' (दूषित) संस्करण लगा दिए ।
इस एक अदला-बदली ने दो क्षमताएं प्रदान कीं:
- मास्टर पासवर्ड से बाईपास। बैकडोर वाले मॉड्यूल में एक हार्डकोडेड गुप्त पासवर्ड था। इस पासवर्ड से किसी भी यूजर अकाउंट में प्रवेश किया जा सकता था, जो सामान्य प्रमाणीकरण को पूरी तरह दरकिनार कर देता था। भले ही एडमिनिस्ट्रेटर हर यूजर के क्रेडेंशियल बदल दें, हमलावर फिर भी बिना रोक-टोक अंदर आ सकते थे
।
- खामोशी से क्रेडेंशियल चुराना। हर वैध लॉगिन घटना को रियल टाइम में कैप्चर किया गया। प्रमाणीकरण करने वाले हर यूजर के स्पष्ट पासवर्ड
/usr/share/awk/nullfile.awkपर स्थित एक छिपी हुई फाइल में लिखे जाते थे। इससे वेलवेट ऐंट बिना किसी अतिरिक्त शोर के पूरे यूजर बेस के वैध क्रेडेंशियल इकट्ठा करता रहा।
मानक सफाई क्यों नाकाम रही
पारंपरिक घटना प्रतिक्रिया की रणनीतियाँ ऐसे दुश्मन के लिए नहीं बनी हैं जिसने आपके ऑपरेटिंग सिस्टम की लॉगिन बायनरी को ही दोबारा कंपाइल कर दिया हो। सिग्निया की रिपोर्ट साफ करती है कि क्यों सफाई की पहली कई कोशिशें विफल रहीं:
- सफाई का अंतर। मानक प्रक्रिया—संदिग्ध फाइलें हटाओ, दुर्भावनापूर्ण प्रक्रियाएं खत्म करो, सभी पासवर्ड बदलो—का हमलावर के मुख्य पर्सिस्टेंस तंत्र पर शून्य प्रभाव पड़ा। ट्रोजनाइज़्ड
pam_unix.soऔर SSH बायनरी, अपनी कंपाइल लॉजिक को छोड़ हर मायने में वैध सिस्टम फाइलें ही थीं।
- मेटाडेटा छिपाना। हमलावरों ने मूल फाइल नाम, पथ, टाइमस्टैम्प और लगभग वही फाइल साइज बरकरार रखा। कोई भी फाइल-इंटीग्रिटी जाँच जो पूरी तरह फाइल मेटाडेटा पर निर्भर थी—जो कि कई एंटरप्राइज परिवेशों में आम है—उसे सब कुछ सामान्य दिखा
।
- पासवर्ड बदलने की बेकारी। चूँकि हार्डकोडेड मास्टर पासवर्ड प्रमाणीकरण मॉड्यूल के अंदर ही रहता था, इसलिए हर यूजर के क्रेडेंशियल को रीसेट करने से हमलावरों को बाहर करने में कोई मदद नहीं मिली
।
- खुद को दोबारा स्थापित करने वाली डिज़ाइन। जाँच के दौरान एकत्र सबूतों से संकेत मिला कि यह बैकडोर आंशिक उपचार से बचने के लिए बनाया गया था। अगर सुरक्षा टीम ने कुछ होस्ट साफ किए लेकिन प्रमाणीकरण स्टैक दूसरों पर कमजोर रह गया, तो समूह फिर से मूवमेंट कर सकता था और दोबारा बनी मशीनों को फिर से संक्रमित कर सकता था
।
सिग्निया का अंतिम उपचार कदम स्पष्ट था: नेटवर्क को हर प्रभावित होस्ट के ऑपरेटिंग सिस्टम को एक ज्ञात-सुरक्षित, रीड-ओनली मीडिया से पूरी तरह रीबिल्ड करने की जरूरत थी। चुनिंदा फाइल हटाना या आंशिक रीइमेजिंग अपर्याप्त थी ।
हमले का तरीका और पैटर्न
वेलवेट ऐंट की सफलता किसी अनोखी हमले की चेन पर निर्भर नहीं करती। इसके बजाय, यह समूह धैर्य और प्रमाणीकरण-स्तरीय छिपाव पर केंद्रित एक परिपक्व कार्यशैली का प्रदर्शन करता है।
| कार्यशैली | देखा गया व्यवहार |
|---|---|
| नेटवर्क-किनारे से शुरुआती पहुँच | इंटरनेट के सामने वाले बिना पैच वाले एंटरप्राइज उपकरणों—खासकर F5 BIG-IP और सिस्को नेक्सस स्विच—का आंतरिक नेटवर्क में सेंध लगाने के लिए इस्तेमाल |
| प्राथमिक इम्प्लांट के रूप में प्रमाणीकरण भ्रष्ट करना | पारंपरिक रिमोट एक्सेस ट्रोजन (RAT) को एंडपॉइंट पर तैनात करने से बचा और इसके बजाय पूरे लिनक्स बेड़े पर यूजर लॉगिन को मान्य करने वाले घटकों को बदल दिया |
| अनावश्यक पर्सिस्टेंस जाल | अलग-अलग नेटवर्क खंडों में कई पकड़ बनाए रखता है ताकि एक पहुँच बिंदु—या एक पूरा उपकरण—खोने से ऑपरेशन बंद न हो |
| 'लिविंग-ऑफ-द-लैंड' | चुराए गए क्रेडेंशियल और SSH जैसे मानक एडमिनिस्ट्रेटिव टूल्स का इस्तेमाल करके नेटवर्क में मूवमेंट करता है, जिससे डिटेक्शन टूल्स के लिए मैलवेयर के सिग्नेचर न्यूनतम रहते हैं |
| औद्योगिक पैमाने पर क्रेडेंशियल हार्वेस्टिंग | नेटवर्क पर हर सफल लॉगिन से स्पष्ट पासवर्ड कैप्चर करता है और बिना किसी अतिरिक्त नेटवर्क शोर के लगातार वैध पहचान जमा करता है |
| अत्यधिक लंबी उपस्थिति | दिनों या हफ्तों के बजाय सालों तक काम करता है। इस 'धीमी और शांत' गति का मतलब है कि छोटी लॉग-रिटेंशन अवधि और नियमित सिस्टम रखरखाव फॉरेंसिक सबूत मिटा सकते हैं |
आरोप और संबंधित गतिविधियाँ
सिग्निया 'ऑपरेशन हाइलैंड' का श्रेय पूरे विश्वास के साथ वेलवेट ऐंट को देता है और समूह को चीनी राज्य-प्रायोजित जासूसी के उद्देश्यों से जोड़ता है । यह समूह पूर्वी एशिया के बड़े संगठनों, विशेष रूप से दूरसंचार प्रदाताओं और महत्वपूर्ण बुनियादी ढांचे पर ध्यान केंद्रित करता है
।
पहले और समानांतर अभियान अतिरिक्त संदर्भ प्रदान करते हैं। एक अलग मामले में, वेलवेट ऐंट ने सिग्निया की जाँच द्वारा गतिविधि का पता लगाने से पहले कम से कम तीन वर्षों तक पुराने F5 BIG-IP उपकरणों को कमांड-एंड-कंट्रोल (C2) प्रॉक्सी के रूप में इस्तेमाल किया । समूह को पिछली सेंधों के दौरान PlugX और ShadowPad मैलवेयर भी तैनात करते देखा गया है, जो एक व्यापक टूलकिट का संकेत देता है जिसमें कस्टम और सार्वजनिक रूप से उपलब्ध दोनों क्षमताएं शामिल हैं
।
सुरक्षाकर्मियों को अब क्या करना चाहिए
'ऑपरेशन हाइलैंड' से सबसे बड़ा सबक यह है कि जब प्रमाणीकरण स्टैक ही अविश्वसनीय हो, तो पारंपरिक एंडपॉइंट सुरक्षा और क्रेडेंशियल बदलना पर्याप्त नहीं है।
सुरक्षाकर्मियों को फाइल इंटीग्रिटी मॉनिटरिंग को प्राथमिकता देनी चाहिए जो /lib/security/pam_unix.so और SSH डेमॉन बायनरी सहित महत्वपूर्ण सिस्टम बायनरी के क्रिप्टोग्राफिक हैश की तुलना किसी ज्ञात-सुरक्षित बेसलाइन से करे, न कि केवल फाइल मेटाडेटा से। सभी प्रमाणीकरण घटनाओं को एक अपरिवर्तनीय (immutable) बाहरी सिस्टम पर केंद्रीय रूप से लॉग करना भी जरूरी है, क्योंकि पर्याप्त पहुँच वाला हमलावर होस्ट पर मौजूद लॉग से छेड़छाड़ कर सकता है। मल्टी-फैक्टर ऑथेंटिकेशन (MFA) एक कीमती बाधा बना रहता है, लेकिन यह सीधे तौर पर एक बैकडोर वाली PAM सेवा से रक्षा नहीं करता जो पूरी तरह से प्रमाणीकरण जाँच को ही दरकिनार कर देती है।
'ऑपरेशन हाइलैंड' दिखाता है कि सबसे खतरनाक पर्सिस्टेंस मैलवेयर की तरह बिल्कुल नहीं दिखता—यह बिल्कुल वैसा ही दिखता है जैसे आपका भरोसेमंद रोज़ाना का लॉगिन प्रॉम्प्ट।
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
लोग पूछते भी हैं
"ऑपरेशन हाइलैंड: कैसे एक चीनी हैकर ग्रुप ने लिनक्स के 'दरवाजे' में ही सेंध लगाकर दस साल तक राज खंगाले" का संक्षिप्त उत्तर क्या है?
सिग्निया की 'ऑपरेशन हाइलैंड' जाँच में पाया गया कि चीन से जुड़ा वेलवेट ऐंट ग्रुप एक संवेदनशील नेटवर्क में करीब एक दशक तक लिनक्स के pam unix.so मॉड्यूल और OpenSSH बायनरी को बदलकर छिपा रहा।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
सिग्निया की 'ऑपरेशन हाइलैंड' जाँच में पाया गया कि चीन से जुड़ा वेलवेट ऐंट ग्रुप एक संवेदनशील नेटवर्क में करीब एक दशक तक लिनक्स के pam unix.so मॉड्यूल और OpenSSH बायनरी को बदलकर छिपा रहा। फाइलें हटाने, प्रक्रियाएं खत्म करने और पासवर्ड बदलने जैसे मानक सुरक्षा उपाय पूरी तरह बेअसर साबित हुए, क्योंकि बैकडोर वाली सिस्टम फाइलें असली फाइलों जैसी ही दिखती थीं।
मुझे अभ्यास में आगे क्या करना चाहिए?
इस ग्रुप की कार्यशैली तकनीकी नवीनता के बजाय अत्यधिक धैर्य और प्रमाणीकरण व्यवस्था को भीतर से कमजोर करने पर केंद्रित है, जो सुरक्षाकर्मियों के लिए क्रिप्टोग्राफिक स्तर पर फाइल इंटीग्रिटी निगरानी को अनिवार्य बना देता है।
सूत्र
- thehackernews.comChina-Linked Hackers Backdoored Linux Login Software to Hide for ...
- intelfusions.comChina-linked spies lurked in a critical network for nearly a decade
- dc3.mil[PDF] DIB-Reported Cyber Threats CY2024 Q2 April–June
- imda.gov.sgBackdoor exploit against telecom systems
- modeldiplomat.comVelvet Ant | Model Diplomat
- deepseas.com[PDF] Monthly Threat Intelligence Rollup - DeepSeas
- mphasis.comSummary
- anvilogic.comProlonged Cyber Espionage by Chinese-Linked Actors
- imda.gov.sgWeaver Ant Targeting Telecom Providers in Asia
- community.f5.comCDK breach, Qilin Synnovis attack, Velvet Ant and Nobelium Threat Groups | DevCentral
- securityaffairs.comVelvet Ant uses F5 BIG-IP malware in cyber espionage campaign
- therecord.mediaChinese hackers spent four years inside Asian telco’s networks
- sygnia.coThreat reports and advisories - Sygnia
- securityweek.comChinese Hackers Leveraged Legacy F5 BIG-IP Appliance for ...
- linkedin.comIn-Depth Analysis: Velvet Ant's Prolonged Cyber Attack on a Large… | Ori Porag
- zerohuntlabs.comLinux Persistence | zerohuntlabs
- advisory.eventussecurity.comPAM-Based Malware Grants Persistent SSH Backdoor Access
- elastic.coLinux Detection Engineering - Approaching the Summit on ... - Elastic