शुरुआती प्रवेश बिंदु। सेंध की शुरुआत संभवतः इंटरनेट के सामने वाले एक पुराने और बिना पैच वाले F5 BIG-IP उपकरण के जरिए हुई, जिसे संगठन ने हटाया नहीं था। एक बार जब हमलावरों ने इस उपकरण पर नियंत्रण कर लिया, तो उन्होंने इसे गहराई में घुसने के लिए एक जरिए के रूप में इस्तेमाल किया—अंततः वे बिना इंटरनेट वाले आंतरिक नेटवर्क तक पहुँच गए ।

बैकडोर ने कैसे काम किया

फाइल स्कैनर या एंडपॉइंट डिटेक्शन द्वारा पकड़े जाने वाले सामान्य मैलवेयर का इस्तेमाल करने के बजाय, वेलवेट ऐंट ने ऑपरेटिंग सिस्टम की अपनी विश्वास संरचना को ही ध्वस्त कर दिया। समूह ने दर्जनों होस्ट पर लिनक्स के मुख्य प्रमाणीकरण घटकों—खासतौर पर pam_unix.so प्लगेबल ऑथेंटिकेशन मॉड्यूल और कई OpenSSH बायनरी—को बदलकर उनकी जगह 'ट्रोजनाइज़्ड' (दूषित) संस्करण लगा दिए ।

इस एक अदला-बदली ने दो क्षमताएं प्रदान कीं:

1. मास्टर पासवर्ड से बाईपास। बैकडोर वाले मॉड्यूल में एक हार्डकोडेड गुप्त पासवर्ड था। इस पासवर्ड से किसी भी यूजर अकाउंट में प्रवेश किया जा सकता था, जो सामान्य प्रमाणीकरण को पूरी तरह दरकिनार कर देता था। भले ही एडमिनिस्ट्रेटर हर यूजर के क्रेडेंशियल बदल दें, हमलावर फिर भी बिना रोक-टोक अंदर आ सकते थे ।
2. खामोशी से क्रेडेंशियल चुराना। हर वैध लॉगिन घटना को रियल टाइम में कैप्चर किया गया। प्रमाणीकरण करने वाले हर यूजर के स्पष्ट पासवर्ड /usr/share/awk/nullfile.awk पर स्थित एक छिपी हुई फाइल में लिखे जाते थे। इससे वेलवेट ऐंट बिना किसी अतिरिक्त शोर के पूरे यूजर बेस के वैध क्रेडेंशियल इकट्ठा करता रहा ।

मानक सफाई क्यों नाकाम रही

पारंपरिक घटना प्रतिक्रिया की रणनीतियाँ ऐसे दुश्मन के लिए नहीं बनी हैं जिसने आपके ऑपरेटिंग सिस्टम की लॉगिन बायनरी को ही दोबारा कंपाइल कर दिया हो। सिग्निया की रिपोर्ट साफ करती है कि क्यों सफाई की पहली कई कोशिशें विफल रहीं:

• सफाई का अंतर। मानक प्रक्रिया—संदिग्ध फाइलें हटाओ, दुर्भावनापूर्ण प्रक्रियाएं खत्म करो, सभी पासवर्ड बदलो—का हमलावर के मुख्य पर्सिस्टेंस तंत्र पर शून्य प्रभाव पड़ा। ट्रोजनाइज़्ड pam_unix.so और SSH बायनरी, अपनी कंपाइल लॉजिक को छोड़ हर मायने में वैध सिस्टम फाइलें ही थीं ।
• मेटाडेटा छिपाना। हमलावरों ने मूल फाइल नाम, पथ, टाइमस्टैम्प और लगभग वही फाइल साइज बरकरार रखा। कोई भी फाइल-इंटीग्रिटी जाँच जो पूरी तरह फाइल मेटाडेटा पर निर्भर थी—जो कि कई एंटरप्राइज परिवेशों में आम है—उसे सब कुछ सामान्य दिखा ।
• पासवर्ड बदलने की बेकारी। चूँकि हार्डकोडेड मास्टर पासवर्ड प्रमाणीकरण मॉड्यूल के अंदर ही रहता था, इसलिए हर यूजर के क्रेडेंशियल को रीसेट करने से हमलावरों को बाहर करने में कोई मदद नहीं मिली ।
• खुद को दोबारा स्थापित करने वाली डिज़ाइन। जाँच के दौरान एकत्र सबूतों से संकेत मिला कि यह बैकडोर आंशिक उपचार से बचने के लिए बनाया गया था। अगर सुरक्षा टीम ने कुछ होस्ट साफ किए लेकिन प्रमाणीकरण स्टैक दूसरों पर कमजोर रह गया, तो समूह फिर से मूवमेंट कर सकता था और दोबारा बनी मशीनों को फिर से संक्रमित कर सकता था ।

सिग्निया का अंतिम उपचार कदम स्पष्ट था: नेटवर्क को हर प्रभावित होस्ट के ऑपरेटिंग सिस्टम को एक ज्ञात-सुरक्षित, रीड-ओनली मीडिया से पूरी तरह रीबिल्ड करने की जरूरत थी। चुनिंदा फाइल हटाना या आंशिक रीइमेजिंग अपर्याप्त थी ।

हमले का तरीका और पैटर्न

वेलवेट ऐंट की सफलता किसी अनोखी हमले की चेन पर निर्भर नहीं करती। इसके बजाय, यह समूह धैर्य और प्रमाणीकरण-स्तरीय छिपाव पर केंद्रित एक परिपक्व कार्यशैली का प्रदर्शन करता है।

आरोप और संबंधित गतिविधियाँ

सिग्निया 'ऑपरेशन हाइलैंड' का श्रेय पूरे विश्वास के साथ वेलवेट ऐंट को देता है और समूह को चीनी राज्य-प्रायोजित जासूसी के उद्देश्यों से जोड़ता है । यह समूह पूर्वी एशिया के बड़े संगठनों, विशेष रूप से दूरसंचार प्रदाताओं और महत्वपूर्ण बुनियादी ढांचे पर ध्यान केंद्रित करता है ।

पहले और समानांतर अभियान अतिरिक्त संदर्भ प्रदान करते हैं। एक अलग मामले में, वेलवेट ऐंट ने सिग्निया की जाँच द्वारा गतिविधि का पता लगाने से पहले कम से कम तीन वर्षों तक पुराने F5 BIG-IP उपकरणों को कमांड-एंड-कंट्रोल (C2) प्रॉक्सी के रूप में इस्तेमाल किया । समूह को पिछली सेंधों के दौरान PlugX और ShadowPad मैलवेयर भी तैनात करते देखा गया है, जो एक व्यापक टूलकिट का संकेत देता है जिसमें कस्टम और सार्वजनिक रूप से उपलब्ध दोनों क्षमताएं शामिल हैं ।

सुरक्षाकर्मियों को अब क्या करना चाहिए

'ऑपरेशन हाइलैंड' से सबसे बड़ा सबक यह है कि जब प्रमाणीकरण स्टैक ही अविश्वसनीय हो, तो पारंपरिक एंडपॉइंट सुरक्षा और क्रेडेंशियल बदलना पर्याप्त नहीं है।

सुरक्षाकर्मियों को फाइल इंटीग्रिटी मॉनिटरिंग को प्राथमिकता देनी चाहिए जो /lib/security/pam_unix.so और SSH डेमॉन बायनरी सहित महत्वपूर्ण सिस्टम बायनरी के क्रिप्टोग्राफिक हैश की तुलना किसी ज्ञात-सुरक्षित बेसलाइन से करे, न कि केवल फाइल मेटाडेटा से। सभी प्रमाणीकरण घटनाओं को एक अपरिवर्तनीय (immutable) बाहरी सिस्टम पर केंद्रीय रूप से लॉग करना भी जरूरी है, क्योंकि पर्याप्त पहुँच वाला हमलावर होस्ट पर मौजूद लॉग से छेड़छाड़ कर सकता है। मल्टी-फैक्टर ऑथेंटिकेशन (MFA) एक कीमती बाधा बना रहता है, लेकिन यह सीधे तौर पर एक बैकडोर वाली PAM सेवा से रक्षा नहीं करता जो पूरी तरह से प्रमाणीकरण जाँच को ही दरकिनार कर देती है।

'ऑपरेशन हाइलैंड' दिखाता है कि सबसे खतरनाक पर्सिस्टेंस मैलवेयर की तरह बिल्कुल नहीं दिखता—यह बिल्कुल वैसा ही दिखता है जैसे आपका भरोसेमंद रोज़ाना का लॉगिन प्रॉम्प्ट।

शुरुआती प्रवेश बिंदु। सेंध की शुरुआत संभवतः इंटरनेट के सामने वाले एक पुराने और बिना पैच वाले F5 BIG-IP उपकरण के जरिए हुई, जिसे संगठन ने हटाया नहीं था। एक बार जब हमलावरों ने इस उपकरण पर नियंत्रण कर लिया, तो उन्होंने इसे गहराई में घुसने के लिए एक जरिए के रूप में इस्तेमाल किया—अंततः वे बिना इंटरनेट वाले आंतरिक नेटवर्क तक पहुँच गए ।

बैकडोर ने कैसे काम किया

फाइल स्कैनर या एंडपॉइंट डिटेक्शन द्वारा पकड़े जाने वाले सामान्य मैलवेयर का इस्तेमाल करने के बजाय, वेलवेट ऐंट ने ऑपरेटिंग सिस्टम की अपनी विश्वास संरचना को ही ध्वस्त कर दिया। समूह ने दर्जनों होस्ट पर लिनक्स के मुख्य प्रमाणीकरण घटकों—खासतौर पर pam_unix.so प्लगेबल ऑथेंटिकेशन मॉड्यूल और कई OpenSSH बायनरी—को बदलकर उनकी जगह 'ट्रोजनाइज़्ड' (दूषित) संस्करण लगा दिए ।

इस एक अदला-बदली ने दो क्षमताएं प्रदान कीं:

1. मास्टर पासवर्ड से बाईपास। बैकडोर वाले मॉड्यूल में एक हार्डकोडेड गुप्त पासवर्ड था। इस पासवर्ड से किसी भी यूजर अकाउंट में प्रवेश किया जा सकता था, जो सामान्य प्रमाणीकरण को पूरी तरह दरकिनार कर देता था। भले ही एडमिनिस्ट्रेटर हर यूजर के क्रेडेंशियल बदल दें, हमलावर फिर भी बिना रोक-टोक अंदर आ सकते थे ।
2. खामोशी से क्रेडेंशियल चुराना। हर वैध लॉगिन घटना को रियल टाइम में कैप्चर किया गया। प्रमाणीकरण करने वाले हर यूजर के स्पष्ट पासवर्ड /usr/share/awk/nullfile.awk पर स्थित एक छिपी हुई फाइल में लिखे जाते थे। इससे वेलवेट ऐंट बिना किसी अतिरिक्त शोर के पूरे यूजर बेस के वैध क्रेडेंशियल इकट्ठा करता रहा ।

मानक सफाई क्यों नाकाम रही

पारंपरिक घटना प्रतिक्रिया की रणनीतियाँ ऐसे दुश्मन के लिए नहीं बनी हैं जिसने आपके ऑपरेटिंग सिस्टम की लॉगिन बायनरी को ही दोबारा कंपाइल कर दिया हो। सिग्निया की रिपोर्ट साफ करती है कि क्यों सफाई की पहली कई कोशिशें विफल रहीं:

• सफाई का अंतर। मानक प्रक्रिया—संदिग्ध फाइलें हटाओ, दुर्भावनापूर्ण प्रक्रियाएं खत्म करो, सभी पासवर्ड बदलो—का हमलावर के मुख्य पर्सिस्टेंस तंत्र पर शून्य प्रभाव पड़ा। ट्रोजनाइज़्ड pam_unix.so और SSH बायनरी, अपनी कंपाइल लॉजिक को छोड़ हर मायने में वैध सिस्टम फाइलें ही थीं ।
• मेटाडेटा छिपाना। हमलावरों ने मूल फाइल नाम, पथ, टाइमस्टैम्प और लगभग वही फाइल साइज बरकरार रखा। कोई भी फाइल-इंटीग्रिटी जाँच जो पूरी तरह फाइल मेटाडेटा पर निर्भर थी—जो कि कई एंटरप्राइज परिवेशों में आम है—उसे सब कुछ सामान्य दिखा ।
• पासवर्ड बदलने की बेकारी। चूँकि हार्डकोडेड मास्टर पासवर्ड प्रमाणीकरण मॉड्यूल के अंदर ही रहता था, इसलिए हर यूजर के क्रेडेंशियल को रीसेट करने से हमलावरों को बाहर करने में कोई मदद नहीं मिली ।
• खुद को दोबारा स्थापित करने वाली डिज़ाइन। जाँच के दौरान एकत्र सबूतों से संकेत मिला कि यह बैकडोर आंशिक उपचार से बचने के लिए बनाया गया था। अगर सुरक्षा टीम ने कुछ होस्ट साफ किए लेकिन प्रमाणीकरण स्टैक दूसरों पर कमजोर रह गया, तो समूह फिर से मूवमेंट कर सकता था और दोबारा बनी मशीनों को फिर से संक्रमित कर सकता था ।

सिग्निया का अंतिम उपचार कदम स्पष्ट था: नेटवर्क को हर प्रभावित होस्ट के ऑपरेटिंग सिस्टम को एक ज्ञात-सुरक्षित, रीड-ओनली मीडिया से पूरी तरह रीबिल्ड करने की जरूरत थी। चुनिंदा फाइल हटाना या आंशिक रीइमेजिंग अपर्याप्त थी ।

हमले का तरीका और पैटर्न

वेलवेट ऐंट की सफलता किसी अनोखी हमले की चेन पर निर्भर नहीं करती। इसके बजाय, यह समूह धैर्य और प्रमाणीकरण-स्तरीय छिपाव पर केंद्रित एक परिपक्व कार्यशैली का प्रदर्शन करता है।

आरोप और संबंधित गतिविधियाँ

सिग्निया 'ऑपरेशन हाइलैंड' का श्रेय पूरे विश्वास के साथ वेलवेट ऐंट को देता है और समूह को चीनी राज्य-प्रायोजित जासूसी के उद्देश्यों से जोड़ता है । यह समूह पूर्वी एशिया के बड़े संगठनों, विशेष रूप से दूरसंचार प्रदाताओं और महत्वपूर्ण बुनियादी ढांचे पर ध्यान केंद्रित करता है ।

पहले और समानांतर अभियान अतिरिक्त संदर्भ प्रदान करते हैं। एक अलग मामले में, वेलवेट ऐंट ने सिग्निया की जाँच द्वारा गतिविधि का पता लगाने से पहले कम से कम तीन वर्षों तक पुराने F5 BIG-IP उपकरणों को कमांड-एंड-कंट्रोल (C2) प्रॉक्सी के रूप में इस्तेमाल किया । समूह को पिछली सेंधों के दौरान PlugX और ShadowPad मैलवेयर भी तैनात करते देखा गया है, जो एक व्यापक टूलकिट का संकेत देता है जिसमें कस्टम और सार्वजनिक रूप से उपलब्ध दोनों क्षमताएं शामिल हैं ।

सुरक्षाकर्मियों को अब क्या करना चाहिए

'ऑपरेशन हाइलैंड' से सबसे बड़ा सबक यह है कि जब प्रमाणीकरण स्टैक ही अविश्वसनीय हो, तो पारंपरिक एंडपॉइंट सुरक्षा और क्रेडेंशियल बदलना पर्याप्त नहीं है।

सुरक्षाकर्मियों को फाइल इंटीग्रिटी मॉनिटरिंग को प्राथमिकता देनी चाहिए जो /lib/security/pam_unix.so और SSH डेमॉन बायनरी सहित महत्वपूर्ण सिस्टम बायनरी के क्रिप्टोग्राफिक हैश की तुलना किसी ज्ञात-सुरक्षित बेसलाइन से करे, न कि केवल फाइल मेटाडेटा से। सभी प्रमाणीकरण घटनाओं को एक अपरिवर्तनीय (immutable) बाहरी सिस्टम पर केंद्रीय रूप से लॉग करना भी जरूरी है, क्योंकि पर्याप्त पहुँच वाला हमलावर होस्ट पर मौजूद लॉग से छेड़छाड़ कर सकता है। मल्टी-फैक्टर ऑथेंटिकेशन (MFA) एक कीमती बाधा बना रहता है, लेकिन यह सीधे तौर पर एक बैकडोर वाली PAM सेवा से रक्षा नहीं करता जो पूरी तरह से प्रमाणीकरण जाँच को ही दरकिनार कर देती है।

'ऑपरेशन हाइलैंड' दिखाता है कि सबसे खतरनाक पर्सिस्टेंस मैलवेयर की तरह बिल्कुल नहीं दिखता—यह बिल्कुल वैसा ही दिखता है जैसे आपका भरोसेमंद रोज़ाना का लॉगिन प्रॉम्प्ट।