ऑपरेशन हाइलैंड: कैसे एक चीनी हैकर ग्रुप ने लिनक्स के 'दरवाजे' में ही सेंध लगाकर दस साल तक राज खंगाले

इस एक अदला-बदली ने दो क्षमताएं प्रदान कीं:

1. मास्टर पासवर्ड से बाईपास। बैकडोर वाले मॉड्यूल में एक हार्डकोडेड गुप्त पासवर्ड था। इस पासवर्ड से किसी भी यूजर अकाउंट में प्रवेश किया जा सकता था, जो सामान्य प्रमाणीकरण को पूरी तरह दरकिनार कर देता था। भले ही एडमिनिस्ट्रेटर हर यूजर के क्रेडेंशियल बदल दें, हमलावर फिर भी बिना रोक-टोक अंदर आ सकते थे ।
2. खामोशी से क्रेडेंशियल चुराना। हर वैध लॉगिन घटना को रियल टाइम में कैप्चर किया गया। प्रमाणीकरण करने वाले हर यूजर के स्पष्ट पासवर्ड /usr/share/awk/nullfile.awk पर स्थित एक छिपी हुई फाइल में लिखे जाते थे। इससे वेलवेट ऐंट बिना किसी अतिरिक्त शोर के पूरे यूजर बेस के वैध क्रेडेंशियल इकट्ठा करता रहा ।

मानक सफाई क्यों नाकाम रही

पारंपरिक घटना प्रतिक्रिया की रणनीतियाँ ऐसे दुश्मन के लिए नहीं बनी हैं जिसने आपके ऑपरेटिंग सिस्टम की लॉगिन बायनरी को ही दोबारा कंपाइल कर दिया हो। सिग्निया की रिपोर्ट साफ करती है कि क्यों सफाई की पहली कई कोशिशें विफल रहीं:

• सफाई का अंतर। मानक प्रक्रिया—संदिग्ध फाइलें हटाओ, दुर्भावनापूर्ण प्रक्रियाएं खत्म करो, सभी पासवर्ड बदलो—का हमलावर के मुख्य पर्सिस्टेंस तंत्र पर शून्य प्रभाव पड़ा। ट्रोजनाइज़्ड pam_unix.so और SSH बायनरी, अपनी कंपाइल लॉजिक को छोड़ हर मायने में वैध सिस्टम फाइलें ही थीं ।
• मेटाडेटा छिपाना। हमलावरों ने मूल फाइल नाम, पथ, टाइमस्टैम्प और लगभग वही फाइल साइज बरकरार रखा। कोई भी फाइल-इंटीग्रिटी जाँच जो पूरी तरह फाइल मेटाडेटा पर निर्भर थी—जो कि कई एंटरप्राइज परिवेशों में आम है—उसे सब कुछ सामान्य दिखा ।
• पासवर्ड बदलने की बेकारी। चूँकि हार्डकोडेड मास्टर पासवर्ड प्रमाणीकरण मॉड्यूल के अंदर ही रहता था, इसलिए हर यूजर के क्रेडेंशियल को रीसेट करने से हमलावरों को बाहर करने में कोई मदद नहीं मिली ।
• खुद को दोबारा स्थापित करने वाली डिज़ाइन। जाँच के दौरान एकत्र सबूतों से संकेत मिला कि यह बैकडोर आंशिक उपचार से बचने के लिए बनाया गया था। अगर सुरक्षा टीम ने कुछ होस्ट साफ किए लेकिन प्रमाणीकरण स्टैक दूसरों पर कमजोर रह गया, तो समूह फिर से मूवमेंट कर सकता था और दोबारा बनी मशीनों को फिर से संक्रमित कर सकता था ।

सिग्निया का अंतिम उपचार कदम स्पष्ट था: नेटवर्क को हर प्रभावित होस्ट के ऑपरेटिंग सिस्टम को एक ज्ञात-सुरक्षित, रीड-ओनली मीडिया से पूरी तरह रीबिल्ड करने की जरूरत थी। चुनिंदा फाइल हटाना या आंशिक रीइमेजिंग अपर्याप्त थी ।

हमले का तरीका और पैटर्न

वेलवेट ऐंट की सफलता किसी अनोखी हमले की चेन पर निर्भर नहीं करती। इसके बजाय, यह समूह धैर्य और प्रमाणीकरण-स्तरीय छिपाव पर केंद्रित एक परिपक्व कार्यशैली का प्रदर्शन करता है।

आरोप और संबंधित गतिविधियाँ

सिग्निया 'ऑपरेशन हाइलैंड' का श्रेय पूरे विश्वास के साथ वेलवेट ऐंट को देता है और समूह को चीनी राज्य-प्रायोजित जासूसी के उद्देश्यों से जोड़ता है । यह समूह पूर्वी एशिया के बड़े संगठनों, विशेष रूप से दूरसंचार प्रदाताओं और महत्वपूर्ण बुनियादी ढांचे पर ध्यान केंद्रित करता है ।

पहले और समानांतर अभियान अतिरिक्त संदर्भ प्रदान करते हैं। एक अलग मामले में, वेलवेट ऐंट ने सिग्निया की जाँच द्वारा गतिविधि का पता लगाने से पहले कम से कम तीन वर्षों तक पुराने F5 BIG-IP उपकरणों को कमांड-एंड-कंट्रोल (C2) प्रॉक्सी के रूप में इस्तेमाल किया । समूह को पिछली सेंधों के दौरान PlugX और ShadowPad मैलवेयर भी तैनात करते देखा गया है, जो एक व्यापक टूलकिट का संकेत देता है जिसमें कस्टम और सार्वजनिक रूप से उपलब्ध दोनों क्षमताएं शामिल हैं ।

सुरक्षाकर्मियों को अब क्या करना चाहिए

'ऑपरेशन हाइलैंड' से सबसे बड़ा सबक यह है कि जब प्रमाणीकरण स्टैक ही अविश्वसनीय हो, तो पारंपरिक एंडपॉइंट सुरक्षा और क्रेडेंशियल बदलना पर्याप्त नहीं है।

सुरक्षाकर्मियों को फाइल इंटीग्रिटी मॉनिटरिंग को प्राथमिकता देनी चाहिए जो /lib/security/pam_unix.so और SSH डेमॉन बायनरी सहित महत्वपूर्ण सिस्टम बायनरी के क्रिप्टोग्राफिक हैश की तुलना किसी ज्ञात-सुरक्षित बेसलाइन से करे, न कि केवल फाइल मेटाडेटा से। सभी प्रमाणीकरण घटनाओं को एक अपरिवर्तनीय (immutable) बाहरी सिस्टम पर केंद्रीय रूप से लॉग करना भी जरूरी है, क्योंकि पर्याप्त पहुँच वाला हमलावर होस्ट पर मौजूद लॉग से छेड़छाड़ कर सकता है। मल्टी-फैक्टर ऑथेंटिकेशन (MFA) एक कीमती बाधा बना रहता है, लेकिन यह सीधे तौर पर एक बैकडोर वाली PAM सेवा से रक्षा नहीं करता जो पूरी तरह से प्रमाणीकरण जाँच को ही दरकिनार कर देती है।

'ऑपरेशन हाइलैंड' दिखाता है कि सबसे खतरनाक पर्सिस्टेंस मैलवेयर की तरह बिल्कुल नहीं दिखता—यह बिल्कुल वैसा ही दिखता है जैसे आपका भरोसेमंद रोज़ाना का लॉगिन प्रॉम्प्ट।