Alih-alih menjatuhkan malware khusus yang mungkin akan ditandai oleh pemindai file atau deteksi titik akhir, Velvet Ant menyusupi arsitektur kepercayaan sistem operasi itu sendiri. Di puluhan host, kelompok ini secara sistematis mengganti komponen autentikasi inti Linux — khususnya modul autentikasi pluggable pam_unix.so dan beberapa binari OpenSSH — dengan versi yang telah dimodifikasi .
Substitusi ini memberikan dua kemampuan dari satu implan:
/usr/share/awk/nullfile.awk. Ini memungkinkan Velvet Ant mengumpulkan kredensial yang valid di seluruh basis pengguna tanpa menimbulkan kebisingan pergerakan lateral tambahan Buku pedoman respons insiden tradisional tidak dibangun untuk melawan musuh yang telah mengompilasi ulang binari login sistem operasi Anda. Laporan Sygnia menjelaskan mengapa beberapa upaya pembersihan pertama gagal:
pam_unix.so dan SSH yang telah dimodifikasi adalah file sistem yang sah dalam segala hal kecuali logika yang dikompilasi Langkah remediasi pamungkas Sygnia tidak ambigu: jaringan memerlukan pembangunan ulang sistem operasi penuh pada setiap host yang terpengaruh dari media yang diketahui baik dan bersifat read-only. Penghapusan file selektif atau reimaging parsial tidaklah cukup .
Keberhasilan Velvet Ant tidak bergantung pada rantai serangan yang eksotis. Sebaliknya, kelompok ini menunjukkan buku pedoman operasional matang yang berfokus pada kesabaran dan kamuflase lapisan autentikasi.
Sygnia mengatribusikan Operasi Highland kepada Velvet Ant dengan keyakinan tinggi dan menghubungkan kelompok ini dengan tujuan spionase yang disponsori negara Tiongkok . Kelompok ini berfokus pada organisasi besar di Asia Timur, khususnya penyedia telekomunikasi dan infrastruktur penting
.
Kampanye sebelumnya dan paralel memberikan konteks tambahan. Dalam sebuah kasus terpisah, Velvet Ant menggunakan perangkat F5 BIG-IP lawas sebagai proksi komando dan kendali (C2) setidaknya selama tiga tahun sebelum investigasi Sygnia mengungkap aktivitas tersebut . Kelompok ini juga telah teramati menggunakan malware PlugX dan ShadowPad selama intrusi sebelumnya, menunjukkan perangkat yang luas yang mencakup kemampuan khusus dan yang tersedia untuk umum
.
Pelajaran pertahanan paling penting dari Operasi Highland adalah bahwa perlindungan titik akhir tradisional dan rotasi kredensial tidaklah cukup ketika tumpukan autentikasi itu sendiri tidak dapat dipercaya.
Para pembela jaringan harus memprioritaskan pemantauan integritas file yang membandingkan hash kriptografis dari binari sistem penting — termasuk /lib/security/pam_unix.so dan binari daemon SSH — terhadap basis yang diketahui baik, bukan hanya metadata file. Mencatat semua peristiwa autentikasi secara terpusat ke sistem eksternal yang tidak dapat diubah juga esensial, karena penyerang dengan akses yang cukup dapat merusak log di host itu sendiri. Autentikasi multi-faktor tetap menjadi penghalang yang berharga, tetapi tidak secara langsung melindungi dari layanan PAM yang telah dimodifikasi untuk melewati pemeriksaan autentikasi sepenuhnya.
Operasi Highland menunjukkan bahwa persistensi paling berbahaya tidak terlihat seperti malware sama sekali — ia tampak seperti tampilan permintaan login yang Anda percayai setiap hari.
Comments
0 comments