Operatie Highland: Hoe Velvet Ant een decennium lang in de Linux-login verborgen zat
Sygnia's Operatie Highland toont aan dat de Chinese spionagegroep Velvet Ant bijna een decennium verborgen zat in een gevoelig, luchtbrugnetwerk door Linux pam unix.so modules en OpenSSH binaries te vervangen. Standaard incidentrespons – zoals bestanden verwijderen, processen stoppen en wachtwoorden wijzigen – bleek...
Gepubliceerd doorBewerkt met DeepSeek-V4-ProAfbeeldingen gegenereerd met GPT Image 1.5
Sygnia's Operatie Highland toont aan dat de Chinese spionagegroep Velvet Ant bijna een decennium verborgen zat in een gevoelig, luchtbrugnetwerk door Linux pam unix.so modules en OpenSSH binaries te vervangen.
Standaard incidentrespons – zoals bestanden verwijderen, processen stoppen en wachtwoorden wijzigen – bleek nutteloos omdat de gecompromitteerde bestanden identiek leken aan de originele systeemsoftware.
De werkwijze van de groep draait om extreem geduld en het ondermijnen van de authenticatie infrastructuur, niet om technische hoogstandjes.
What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and mVelvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com
Het Israëlische incidentresponsbedrijf Sygnia heeft bevindingen gepubliceerd uit een onderzoek met de codenaam Operatie Highland. Dit legt een van de meest gedisciplineerde en langstlopende cyberspionagecampagnes uit de recente geschiedenis bloot. De activiteit wordt met hoge zekerheid toegeschreven aan een groepering met een Chinese nexus die Sygnia volgt als Velvet Ant. De operatie draait niet om een enkele, ingenieuze zero-day, maar om een bedrieglijk eenvoudig idee: verstoppen in de software die bepaalt wie er mag inloggen.
De decennialange inbraak, stap voor stap
Het slachtoffernetwerk had geen directe internetverbinding en huisvestte uiterst gevoelige systemen. De forensische tijdlijn van Sygnia wijst uit dat de aanvallers minstens sinds 2016 voet aan de grond hadden, wat de groep een verblijfstijd van bijna tien jaar in de omgeving opleverde .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Operatie Highland: Hoe Velvet Ant een decennium lang in de Linux-login verborgen zat"?
Sygnia's Operatie Highland toont aan dat de Chinese spionagegroep Velvet Ant bijna een decennium verborgen zat in een gevoelig, luchtbrugnetwerk door Linux pam unix.so modules en OpenSSH binaries te vervangen.
What are the key points to validate first?
Sygnia's Operatie Highland toont aan dat de Chinese spionagegroep Velvet Ant bijna een decennium verborgen zat in een gevoelig, luchtbrugnetwerk door Linux pam unix.so modules en OpenSSH binaries te vervangen. Standaard incidentrespons – zoals bestanden verwijderen, processen stoppen en wachtwoorden wijzigen – bleek nutteloos omdat de gecompromitteerde bestanden identiek leken aan de originele systeemsoftware.
What should I do next in practice?
De werkwijze van de groep draait om extreem geduld en het ondermijnen van de authenticatie infrastructuur, niet om technische hoogstandjes.
Operatie Highland: Hoe Velvet Ant een decennium lang in de Linux-login verborgen zat
Sygnia's Operatie Highland toont aan dat de Chinese spionagegroep Velvet Ant bijna een decennium verborgen zat in een gevoelig, luchtbrugnetwerk door Linux pam unix.so modules en OpenSSH binaries te vervangen. Standaard incidentrespons – zoals bestanden verwijderen, processen stoppen en wachtwoorden wijzigen – bleek...
Gepubliceerd doorBewerkt met DeepSeek-V4-ProAfbeeldingen gegenereerd met GPT Image 1.5
Sygnia's Operatie Highland toont aan dat de Chinese spionagegroep Velvet Ant bijna een decennium verborgen zat in een gevoelig, luchtbrugnetwerk door Linux pam unix.so modules en OpenSSH binaries te vervangen.
Standaard incidentrespons – zoals bestanden verwijderen, processen stoppen en wachtwoorden wijzigen – bleek nutteloos omdat de gecompromitteerde bestanden identiek leken aan de originele systeemsoftware.
De werkwijze van de groep draait om extreem geduld en het ondermijnen van de authenticatie infrastructuur, niet om technische hoogstandjes.
What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and mVelvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com
Het Israëlische incidentresponsbedrijf Sygnia heeft bevindingen gepubliceerd uit een onderzoek met de codenaam Operatie Highland. Dit legt een van de meest gedisciplineerde en langstlopende cyberspionagecampagnes uit de recente geschiedenis bloot. De activiteit wordt met hoge zekerheid toegeschreven aan een groepering met een Chinese nexus die Sygnia volgt als Velvet Ant. De operatie draait niet om een enkele, ingenieuze zero-day, maar om een bedrieglijk eenvoudig idee: verstoppen in de software die bepaalt wie er mag inloggen.
De decennialange inbraak, stap voor stap
Het slachtoffernetwerk had geen directe internetverbinding en huisvestte uiterst gevoelige systemen. De forensische tijdlijn van Sygnia wijst uit dat de aanvallers minstens sinds 2016 voet aan de grond hadden, wat de groep een verblijfstijd van bijna tien jaar in de omgeving opleverde .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Operatie Highland: Hoe Velvet Ant een decennium lang in de Linux-login verborgen zat"?
Sygnia's Operatie Highland toont aan dat de Chinese spionagegroep Velvet Ant bijna een decennium verborgen zat in een gevoelig, luchtbrugnetwerk door Linux pam unix.so modules en OpenSSH binaries te vervangen.
What are the key points to validate first?
Sygnia's Operatie Highland toont aan dat de Chinese spionagegroep Velvet Ant bijna een decennium verborgen zat in een gevoelig, luchtbrugnetwerk door Linux pam unix.so modules en OpenSSH binaries te vervangen. Standaard incidentrespons – zoals bestanden verwijderen, processen stoppen en wachtwoorden wijzigen – bleek nutteloos omdat de gecompromitteerde bestanden identiek leken aan de originele systeemsoftware.
What should I do next in practice?
De werkwijze van de groep draait om extreem geduld en het ondermijnen van de authenticatie infrastructuur, niet om technische hoogstandjes.
Het eerste binnendringen. De inbraak begon waarschijnlijk via een verouderd, niet-gepatcht F5 BIG-IP-apparaat dat met het internet was verbonden en door de organisatie niet was afgedankt. Zodra de aanvallers dit apparaat onder controle hadden, gebruikten ze het als springplank om dieper door te dringen – en uiteindelijk het luchtbrugdeel van het interne netwerk te bereiken .
Hoe de backdoor werkte
In plaats van aangepaste malware te plaatsen die scanners of endpoint-detectie uiteindelijk zouden kunnen opmerken, ondermijnde Velvet Ant het vertrouwen in het besturingssysteem zelf. Op tientallen hosts verving de groep systematisch essentiële Linux-authenticatieonderdelen – met name de pam_unix.so-module (Pluggable Authentication Module) en meerdere OpenSSH-binaries – door versies met een ingebouwde achterdeur .
Deze ingreep leverde twee functies in één implantaat op:
Masterwachtwoord-toegang. De geïnfecteerde modules bevatten een hardgecodeerd geheim wachtwoord. Met dit ene wachtwoord kregen de aanvallers toegang tot elk gebruikersaccount, waarmee de normale authenticatie volledig werd omzeild. Zelfs als beheerders álle gebruikerswachtwoorden wijzigden, konden de aanvallers nog steeds gewoon naar binnen lopen .
Stille buit van inloggegevens. Ieder legitiem inlogmoment werd in realtime onderschept. De klare wachtwoorden van elke authenticerende gebruiker werden weggeschreven naar een verborgen bestand op /usr/share/awk/nullfile.awk. Zo verzamelde Velvet Ant geldige inloggegevens van de hele gebruikersbasis, zonder dat hier extra detecteerbare bewegingen op het netwerk voor nodig waren .
Waarom standaard schoonmaak faalde
Traditionele incidentrespons-draaiboeken zijn niet gebouwd op een tegenstander die de inlogsoftware van je besturingssysteem opnieuw heeft gecompileerd. Het rapport van Sygnia maakt duidelijk waarom de eerste pogingen om de systemen schoon te maken mislukten:
Blinde vlek bij schoonmaak. De standaard aanpak – verdachte bestanden verwijderen, kwaadaardige processen stoppen, alle wachtwoorden wijzigen – had nul effect op het primaire aanvalsmechanisme. De gecompromitteerde pam_unix.so en SSH-binaries waren in alles legitieme systeembestanden, behalve in hun gecompileerde logica .
Metadata-maskering. De aanvallers bewaarden de originele bestandsnamen, paden, tijdstempels en bij benadering dezelfde bestandsgroottes. Een controle op bestandsintegriteit die alleen naar metadata keek – gebruikelijk in veel bedrijfsomgevingen – zag niets verkeerds .
Nutteloze wachtwoordwijziging. Omdat het hardgecodeerde masterwachtwoord in de authenticatiemodule zelf zat, had het wijzigen van de inloggegevens van alle gebruikers geen enkel effect op de toegang van de aanvallers .
Zelfherstellend ontwerp. Bewijsmateriaal tijdens het onderzoek wees erop dat de backdoor was gebouwd om gedeeltelijke sanering te overleven. Als het beveiligingsteam enkele hosts opschoonde, maar de authenticatie op andere gecompromitteerd bleef, kon de groep zich opnieuw lateraal verplaatsen en de schone machines opnieuw overnemen .
Sygnia's definitieve oplossing was ondubbelzinnig: het netwerk vereiste een volledige herinstallatie van het besturingssysteem op elke getroffen host, vanaf bekende, betrouwbare media. Selectief bestanden verwijderen of gedeeltelijk opnieuw installeren was onvoldoende .
Het werkwijzepatroon
Het succes van Velvet Ant is niet te danken aan exotische aanvalsketens. In plaats daarvan toont de groep een volwassen operationeel handboek, gericht op geduld en camouflage binnen de authenticatie-infrastructuur.
Operationeel patroon
Waargenomen gedrag
Eerste toegang via netwerkrand
Maakt misbruik van ongepatchte bedrijfsapparatuur – met name F5 BIG-IP en Cisco Nexus-switches – die blootstaan aan het internet als brug naar interne netwerken .
Authenticatie-ondermijning als primair implantaat
Vermijdt het gebruik van conventionele Remote Access Trojans (RAT's) op endpoints en vervangt in plaats daarvan de componenten die gebruikerslogins op Linux-systemen valideren .
Redundant netwerk van persistentie
Houdt meerdere steunpunten aan over verschillende netwerksegmenten, zodat het verlies van één toegangspunt – of zelfs een compleet apparaat – de operatie niet beëindigt .
Gebruik van legitieme tools
Beweegt lateraal door het netwerk met gestolen inloggegevens en standaard tools zoals SSH, waardoor op maat gemaakte malware-signaturen voor detectie minimaal blijven .
Industriële schaal van wachtwoordroof
Onderschept klare wachtwoorden van elke succesvolle login op het netwerk en bouwt zo gestaag een verzameling geldige identiteiten op zonder extra netwerkverkeer .
Extreem lange verblijfstijd
Werkt over jaren in plaats van dagen of weken. Dit lage, trage tempo zorgt ervoor dat korte logbewaartermijnen en routineonderhoud forensisch bewijs kunnen uitwissen .
Toeschrijving en gerelateerde activiteit
Sygnia schrijft Operatie Highland met hoge zekerheid toe aan Velvet Ant en verbindt de groep aan Chinese, door de staat gesponsorde spionagedoelstellingen . De groep richt zich op grote organisaties in Oost-Azië, met name telecomaanbieders en kritieke infrastructuur .
Eerdere en parallelle campagnes bieden meer context. In een ander geval gebruikte Velvet Ant verouderde F5 BIG-IP-apparaten minstens drie jaar lang als proxyservers voor bevel en controle (C2), voordat Sygnia's onderzoek de activiteit ontdekte . De groep is ook waargenomen bij eerdere inbraken met de malware PlugX en ShadowPad, wat duidt op een brede toolkit die zowel op maat gemaakte als publiekelijk beschikbare middelen omvat .
Wat beveiligingsteams nu moeten doen
De belangrijkste les van Operatie Highland is dat traditionele endpoint-bescherming en het wijzigen van wachtwoorden niet genoeg zijn wanneer de authenticatie-infrastructuur zelf onbetrouwbaar is.
Beveiligingsteams moeten prioriteit geven aan controle op bestandsintegriteit die cryptografische hashes van kritieke systeembestanden – zoals /lib/security/pam_unix.so en SSH-daemon-binaries – vergelijkt met een bekende, schone baseline. Niet alleen de metadata. Het centraal vastleggen van alle authenticatiegebeurtenissen naar een onveranderlijk, extern systeem is ook essentieel, omdat een aanvaller met voldoende rechten op de host zelf logs kan wijzigen. Meervoudige authenticatie (MFA) blijft een waardevolle barrière, maar beschermt niet direct tegen een gecompromitteerde PAM-service die authenticatiecontroles volledig omzeilt.
Operatie Highland laat zien dat de gevaarlijkste persistentie er helemaal niet uitziet als malware – het lijkt op het inlogscherm dat je elke dag vertrouwt.
imda.gov.sgBackdoor exploit against telecom systems
Het eerste binnendringen. De inbraak begon waarschijnlijk via een verouderd, niet-gepatcht F5 BIG-IP-apparaat dat met het internet was verbonden en door de organisatie niet was afgedankt. Zodra de aanvallers dit apparaat onder controle hadden, gebruikten ze het als springplank om dieper door te dringen – en uiteindelijk het luchtbrugdeel van het interne netwerk te bereiken .
Hoe de backdoor werkte
In plaats van aangepaste malware te plaatsen die scanners of endpoint-detectie uiteindelijk zouden kunnen opmerken, ondermijnde Velvet Ant het vertrouwen in het besturingssysteem zelf. Op tientallen hosts verving de groep systematisch essentiële Linux-authenticatieonderdelen – met name de pam_unix.so-module (Pluggable Authentication Module) en meerdere OpenSSH-binaries – door versies met een ingebouwde achterdeur .
Deze ingreep leverde twee functies in één implantaat op:
Masterwachtwoord-toegang. De geïnfecteerde modules bevatten een hardgecodeerd geheim wachtwoord. Met dit ene wachtwoord kregen de aanvallers toegang tot elk gebruikersaccount, waarmee de normale authenticatie volledig werd omzeild. Zelfs als beheerders álle gebruikerswachtwoorden wijzigden, konden de aanvallers nog steeds gewoon naar binnen lopen .
Stille buit van inloggegevens. Ieder legitiem inlogmoment werd in realtime onderschept. De klare wachtwoorden van elke authenticerende gebruiker werden weggeschreven naar een verborgen bestand op /usr/share/awk/nullfile.awk. Zo verzamelde Velvet Ant geldige inloggegevens van de hele gebruikersbasis, zonder dat hier extra detecteerbare bewegingen op het netwerk voor nodig waren .
Waarom standaard schoonmaak faalde
Traditionele incidentrespons-draaiboeken zijn niet gebouwd op een tegenstander die de inlogsoftware van je besturingssysteem opnieuw heeft gecompileerd. Het rapport van Sygnia maakt duidelijk waarom de eerste pogingen om de systemen schoon te maken mislukten:
Blinde vlek bij schoonmaak. De standaard aanpak – verdachte bestanden verwijderen, kwaadaardige processen stoppen, alle wachtwoorden wijzigen – had nul effect op het primaire aanvalsmechanisme. De gecompromitteerde pam_unix.so en SSH-binaries waren in alles legitieme systeembestanden, behalve in hun gecompileerde logica .
Metadata-maskering. De aanvallers bewaarden de originele bestandsnamen, paden, tijdstempels en bij benadering dezelfde bestandsgroottes. Een controle op bestandsintegriteit die alleen naar metadata keek – gebruikelijk in veel bedrijfsomgevingen – zag niets verkeerds .
Nutteloze wachtwoordwijziging. Omdat het hardgecodeerde masterwachtwoord in de authenticatiemodule zelf zat, had het wijzigen van de inloggegevens van alle gebruikers geen enkel effect op de toegang van de aanvallers .
Zelfherstellend ontwerp. Bewijsmateriaal tijdens het onderzoek wees erop dat de backdoor was gebouwd om gedeeltelijke sanering te overleven. Als het beveiligingsteam enkele hosts opschoonde, maar de authenticatie op andere gecompromitteerd bleef, kon de groep zich opnieuw lateraal verplaatsen en de schone machines opnieuw overnemen .
Sygnia's definitieve oplossing was ondubbelzinnig: het netwerk vereiste een volledige herinstallatie van het besturingssysteem op elke getroffen host, vanaf bekende, betrouwbare media. Selectief bestanden verwijderen of gedeeltelijk opnieuw installeren was onvoldoende .
Het werkwijzepatroon
Het succes van Velvet Ant is niet te danken aan exotische aanvalsketens. In plaats daarvan toont de groep een volwassen operationeel handboek, gericht op geduld en camouflage binnen de authenticatie-infrastructuur.
Operationeel patroon
Waargenomen gedrag
Eerste toegang via netwerkrand
Maakt misbruik van ongepatchte bedrijfsapparatuur – met name F5 BIG-IP en Cisco Nexus-switches – die blootstaan aan het internet als brug naar interne netwerken .
Authenticatie-ondermijning als primair implantaat
Vermijdt het gebruik van conventionele Remote Access Trojans (RAT's) op endpoints en vervangt in plaats daarvan de componenten die gebruikerslogins op Linux-systemen valideren .
Redundant netwerk van persistentie
Houdt meerdere steunpunten aan over verschillende netwerksegmenten, zodat het verlies van één toegangspunt – of zelfs een compleet apparaat – de operatie niet beëindigt .
Gebruik van legitieme tools
Beweegt lateraal door het netwerk met gestolen inloggegevens en standaard tools zoals SSH, waardoor op maat gemaakte malware-signaturen voor detectie minimaal blijven .
Industriële schaal van wachtwoordroof
Onderschept klare wachtwoorden van elke succesvolle login op het netwerk en bouwt zo gestaag een verzameling geldige identiteiten op zonder extra netwerkverkeer .
Extreem lange verblijfstijd
Werkt over jaren in plaats van dagen of weken. Dit lage, trage tempo zorgt ervoor dat korte logbewaartermijnen en routineonderhoud forensisch bewijs kunnen uitwissen .
Toeschrijving en gerelateerde activiteit
Sygnia schrijft Operatie Highland met hoge zekerheid toe aan Velvet Ant en verbindt de groep aan Chinese, door de staat gesponsorde spionagedoelstellingen . De groep richt zich op grote organisaties in Oost-Azië, met name telecomaanbieders en kritieke infrastructuur .
Eerdere en parallelle campagnes bieden meer context. In een ander geval gebruikte Velvet Ant verouderde F5 BIG-IP-apparaten minstens drie jaar lang als proxyservers voor bevel en controle (C2), voordat Sygnia's onderzoek de activiteit ontdekte . De groep is ook waargenomen bij eerdere inbraken met de malware PlugX en ShadowPad, wat duidt op een brede toolkit die zowel op maat gemaakte als publiekelijk beschikbare middelen omvat .
Wat beveiligingsteams nu moeten doen
De belangrijkste les van Operatie Highland is dat traditionele endpoint-bescherming en het wijzigen van wachtwoorden niet genoeg zijn wanneer de authenticatie-infrastructuur zelf onbetrouwbaar is.
Beveiligingsteams moeten prioriteit geven aan controle op bestandsintegriteit die cryptografische hashes van kritieke systeembestanden – zoals /lib/security/pam_unix.so en SSH-daemon-binaries – vergelijkt met een bekende, schone baseline. Niet alleen de metadata. Het centraal vastleggen van alle authenticatiegebeurtenissen naar een onveranderlijk, extern systeem is ook essentieel, omdat een aanvaller met voldoende rechten op de host zelf logs kan wijzigen. Meervoudige authenticatie (MFA) blijft een waardevolle barrière, maar beschermt niet direct tegen een gecompromitteerde PAM-service die authenticatiecontroles volledig omzeilt.
Operatie Highland laat zien dat de gevaarlijkste persistentie er helemaal niet uitziet als malware – het lijkt op het inlogscherm dat je elke dag vertrouwt.
imda.gov.sgBackdoor exploit against telecom systems
