Operacja Highland: Jak Velvet Ant przez dekadę ukrywał się w systemie logowania Linux
Śledztwo Sygnii "Operation Highland" wykazało, że powiązana z Chinami grupa Velvet Ant pozostawała ukryta w newralgicznej, odizolowanej od internetu sieci przez blisko dekadę, podmieniając moduły pam unix.so oraz bina... Standardowe metody reagowania na incydenty – usuwanie plików, restartowanie procesów i rotacja h...
Opublikowane przezEdytowane za pomocą DeepSeek-V4-ProObrazy wygenerowane za pomocą GPT Image 1.5
Śledztwo Sygnii "Operation Highland" wykazało, że powiązana z Chinami grupa Velvet Ant pozostawała ukryta w newralgicznej, odizolowanej od internetu sieci przez blisko dekadę, podmieniając moduły pam unix.so oraz bina...
Standardowe metody reagowania na incydenty – usuwanie plików, restartowanie procesów i rotacja haseł – były całkowicie nieskuteczne, ponieważ złośliwe pliki uwierzytelniające wyglądały identycznie jak legalne [1][2].
Metodyka grupy opiera się na ekstremalnej cierpliwości operacyjnej i przejmowaniu warstwy uwierzytelniania.
What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and mVelvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com
Izraelska firma Sygnia, specjalizująca się w reagowaniu na incydenty, opublikowała wyniki śledztwa nazwanego Operacją Highland, które obnaża jedną z najlepiej zdyscyplinowanych i najdłużej trwających kampanii szpiegowskich ostatnich lat. Działania przypisano z dużą pewnością grupie powiązanej z Chinami, którą Sygnia śledzi jako Velvet Ant. Operacja ta pokazuje, że najgroźniejszy backdoor nie musi przypominać tradycyjnego malware – może wyglądać dokładnie jak ekran logowania, któremu ufasz każdego dnia.
Ponaddziesięcioletnia infiltracja krok po kroku
Sieć ofiary nie miała bezpośredniego połączenia z internetem i zawierała wysoce wrażliwe systemy. Analiza kryminalistyczna Sygnii wskazuje, że intruzi uzyskali dostęp nie później niż w 2016 roku, co daje grupie blisko dziesięć lat utajenia w chronionym środowisku .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Operacja Highland: Jak Velvet Ant przez dekadę ukrywał się w systemie logowania Linux"?
Śledztwo Sygnii "Operation Highland" wykazało, że powiązana z Chinami grupa Velvet Ant pozostawała ukryta w newralgicznej, odizolowanej od internetu sieci przez blisko dekadę, podmieniając moduły pam unix.so oraz bina...
What are the key points to validate first?
Śledztwo Sygnii "Operation Highland" wykazało, że powiązana z Chinami grupa Velvet Ant pozostawała ukryta w newralgicznej, odizolowanej od internetu sieci przez blisko dekadę, podmieniając moduły pam unix.so oraz bina... Standardowe metody reagowania na incydenty – usuwanie plików, restartowanie procesów i rotacja haseł – były całkowicie nieskuteczne, ponieważ złośliwe pliki uwierzytelniające wyglądały identycznie jak legalne [1][2].
What should I do next in practice?
Metodyka grupy opiera się na ekstremalnej cierpliwości operacyjnej i przejmowaniu warstwy uwierzytelniania.
Operacja Highland: Jak Velvet Ant przez dekadę ukrywał się w systemie logowania Linux
Śledztwo Sygnii "Operation Highland" wykazało, że powiązana z Chinami grupa Velvet Ant pozostawała ukryta w newralgicznej, odizolowanej od internetu sieci przez blisko dekadę, podmieniając moduły pam unix.so oraz bina... Standardowe metody reagowania na incydenty – usuwanie plików, restartowanie procesów i rotacja h...
Opublikowane przezEdytowane za pomocą DeepSeek-V4-ProObrazy wygenerowane za pomocą GPT Image 1.5
Śledztwo Sygnii "Operation Highland" wykazało, że powiązana z Chinami grupa Velvet Ant pozostawała ukryta w newralgicznej, odizolowanej od internetu sieci przez blisko dekadę, podmieniając moduły pam unix.so oraz bina...
Standardowe metody reagowania na incydenty – usuwanie plików, restartowanie procesów i rotacja haseł – były całkowicie nieskuteczne, ponieważ złośliwe pliki uwierzytelniające wyglądały identycznie jak legalne [1][2].
Metodyka grupy opiera się na ekstremalnej cierpliwości operacyjnej i przejmowaniu warstwy uwierzytelniania.
What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and mVelvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com
Izraelska firma Sygnia, specjalizująca się w reagowaniu na incydenty, opublikowała wyniki śledztwa nazwanego Operacją Highland, które obnaża jedną z najlepiej zdyscyplinowanych i najdłużej trwających kampanii szpiegowskich ostatnich lat. Działania przypisano z dużą pewnością grupie powiązanej z Chinami, którą Sygnia śledzi jako Velvet Ant. Operacja ta pokazuje, że najgroźniejszy backdoor nie musi przypominać tradycyjnego malware – może wyglądać dokładnie jak ekran logowania, któremu ufasz każdego dnia.
Ponaddziesięcioletnia infiltracja krok po kroku
Sieć ofiary nie miała bezpośredniego połączenia z internetem i zawierała wysoce wrażliwe systemy. Analiza kryminalistyczna Sygnii wskazuje, że intruzi uzyskali dostęp nie później niż w 2016 roku, co daje grupie blisko dziesięć lat utajenia w chronionym środowisku .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Operacja Highland: Jak Velvet Ant przez dekadę ukrywał się w systemie logowania Linux"?
Śledztwo Sygnii "Operation Highland" wykazało, że powiązana z Chinami grupa Velvet Ant pozostawała ukryta w newralgicznej, odizolowanej od internetu sieci przez blisko dekadę, podmieniając moduły pam unix.so oraz bina...
What are the key points to validate first?
Śledztwo Sygnii "Operation Highland" wykazało, że powiązana z Chinami grupa Velvet Ant pozostawała ukryta w newralgicznej, odizolowanej od internetu sieci przez blisko dekadę, podmieniając moduły pam unix.so oraz bina... Standardowe metody reagowania na incydenty – usuwanie plików, restartowanie procesów i rotacja haseł – były całkowicie nieskuteczne, ponieważ złośliwe pliki uwierzytelniające wyglądały identycznie jak legalne [1][2].
What should I do next in practice?
Metodyka grupy opiera się na ekstremalnej cierpliwości operacyjnej i przejmowaniu warstwy uwierzytelniania.
Początkowy punkt wejścia. Naruszenie prawdopodobnie rozpoczęło się od podłączonego do internetu, niezałatanego, przestarzałego urządzenia F5 BIG-IP, które nie zostało wycofane z użytku. Po przejęciu kontroli nad tym urządzeniem, napastnicy użyli go jako przyczółka do przemieszczania się w głąb sieci – docierając ostatecznie do segmentu odciętego od internetu (air-gap) .
Jak działał backdoor
Zamiast instalować niestandardowe złośliwe oprogramowanie, które skanery plików czy systemy EDR mogłyby w końcu wykryć, Velvet Ant podważył natywną architekturę zaufania systemu operacyjnego. Na dziesiątkach hostów grupa systematycznie zastępowała kluczowe komponenty uwierzytelniania Linuksa – konkretnie moduł pam_unix.so oraz kilka binariów OpenSSH – ich trojanizowanymi wersjami .
Taka podmiana dawała dwa potężne narzędzia w jednym implancie:
Ominięcie hasła głównego. Zbackdoorowane moduły zawierały zakodowane na stałe tajne hasło. Każde konto użytkownika było dostępne przy użyciu tylko tego jednego hasła, całkowicie omijając proces uwierzytelniania. Nawet jeśli administratorzy zmieniliby wszystkie dane logowania, intruzi nadal mogliby wejść głównym wejściem .
Ciche przechwytywanie danych uwierzytelniających. Każda legalna próba logowania była rejestrowana w czasie rzeczywistym. Hasła w formie jawnej wszystkich autoryzujących się użytkowników trafiały do ukrytego pliku /usr/share/awk/nullfile.awk. Pozwoliło to grupie Velvet Ant na zbieranie ważnych danych uwierzytelniających w całej sieci, bez generowania dodatkowego ruchu sieciowego .
Dlaczego standardowe czyszczenie nie działało
Tradycyjne procedury reagowania na incydenty nie są przystosowane do przeciwnika, który przekompilował pliki binarne logowania w twoim systemie operacyjnym. Raport Sygnii jasno wyjaśnia, dlaczego kilka pierwszych prób oczyszczenia sieci zakończyło się fiaskiem:
Luka w procesie czyszczenia. Standardowa ścieżka – usuń podejrzane pliki, zabij złośliwe procesy, zmień wszystkie hasła – nie miała żadnego wpływu na główny mechanizm utrzymywania się napastników. Zbackdoorowane moduły pam_unix.so i binaria SSH były legalnymi plikami systemowymi pod każdym względem, z wyjątkiem skompilowanej logiki działania .
Maskowanie metadanych. Napastnicy zachowali oryginalne nazwy, ścieżki, znaczniki czasu i zbliżone rozmiary plików. Każda kontrola integralności plików oparta wyłącznie na metadanych – co jest powszechne w wielu środowiskach korporacyjnych – nie wykazywała niczego podejrzanego .
Daremna rotacja haseł. Ze względu na zakodowane na stałe hasło główne w samym module uwierzytelniającym, resetowanie danych logowania użytkowników nie blokowało napastnikom dostępu .
Zdolność do samoreinstalacji. Dowody zebrane podczas śledztwa wskazały, że backdoor został zaprojektowany tak, by przetrwać częściową remediację. Jeśli zespół bezpieczeństwa wyczyścił część hostów, ale pozostawił skompromitowany stos uwierzytelniania na innych, grupa mogła przesunąć się poziomo i ponownie przejąć odbudowane maszyny .
Ostateczna rekomendacja Sygnii była jednoznaczna: sieć wymagała pełnej przebudowy systemu operacyjnego na każdym zaatakowanym hoście, z wykorzystaniem znanych, czystych nośników tylko do odczytu. Selektywne usuwanie plików lub częściowe przywracanie obrazu systemu było niewystarczające .
Metodyka operacyjna
Sukces Velvet Ant nie opiera się na egzotycznych łańcuchach ataków. Zamiast tego grupa demonstruje dojrzały model operacyjny, skoncentrowany na cierpliwości i maskowaniu się w warstwie uwierzytelniania.
Wzorzec operacyjny
Zaobserwowane zachowanie
Początkowy dostęp przez brzeg sieci
Wykorzystuje niezałatane urządzenia korporacyjne – zwłaszcza F5 BIG-IP i przełączniki Cisco Nexus – podłączone do internetu jako przyczółki do sieci wewnętrznych .
Subwersja uwierzytelniania jako główny implant
Unika instalowania konwencjonalnych trojanów zdalnego dostępu (RAT) na stacjach roboczych, a zamiast tego podmienia komponenty walidujące logowania w całej flocie Linuksów .
Nadmiarowa sieć trwałego dostępu
Utrzymuje wiele przyczółków w różnych segmentach sieci, aby utrata jednego punktu dostępu – a nawet całego urządzenia – nie zakończyła operacji .
Działanie z użyciem legalnych narzędzi (living-off-the-land)
Przemieszcza się poziomo, używając skradzionych danych uwierzytelniających i standardowych narzędzi administracyjnych, takich jak SSH, pozostawiając minimalną liczbę sygnatur niestandardowego malware do wykrycia .
Przechwytywanie danych uwierzytelniających na skalę przemysłową
Przechwytuje hasła w formie jawnej przy każdym udanym logowaniu w sieci, stale gromadząc ważne tożsamości bez dodatkowego szumu sieciowego .
Ekstremalnie długi czas utajenia
Prowadzi operacje latami, a nie dniami czy tygodniami. To powolne tempo oznacza, że krótkie okresy retencji logów i rutynowa konserwacja systemu mogą zatrzeć ślady kryminalistyczne .
Atrybucja i powiązane działania
Sygnia z dużą pewnością przypisuje Operację Highland grupie Velvet Ant i wiąże ją z celami chińskiego szpiegostwa państwowego . Grupa koncentruje się na dużych organizacjach w Azji Wschodniej, w szczególności na dostawcach usług telekomunikacyjnych i infrastrukturze krytycznej .
Wcześniejsze i równoległe kampanie dostarczają dodatkowego kontekstu. W odrębnym przypadku Velvet Ant używał przestarzałych urządzeń F5 BIG-IP jako serwerów proxy do dowodzenia i kontroli (C2) przez co najmniej trzy lata, zanim śledztwo Sygnii ujawniło tę aktywność . Zaobserwowano również, że grupa wykorzystywała malware PlugX i ShadowPad podczas wcześniejszych włamań, co wskazuje na szeroki arsenał obejmujący zarówno niestandardowe, jak i ogólnodostępne narzędzia .
Co powinni zrobić obrońcy
Najważniejsza lekcja z Operacji Highland jest taka, że tradycyjne zabezpieczenia punktów końcowych i rotacja danych uwierzytelniających nie wystarczają, gdy sam stos uwierzytelniania jest niewiarygodny.
Obrońcy powinni priorytetowo traktować monitorowanie integralności plików, które porównuje kryptograficzne sumy kontrolne krytycznych binariów systemowych – w tym /lib/security/pam_unix.so i demonów SSH – z zaufanymi wzorcami, a nie tylko z metadanymi. Niezbędne jest również centralne rejestrowanie wszystkich zdarzeń uwierzytelniania w niezmienialnym, zewnętrznym systemie, ponieważ napastnik z wystarczającym dostępem może manipulować logami na hoście. Uwierzytelnianie wieloskładnikowe (MFA) pozostaje cenną barierą, ale nie chroni bezpośrednio przed zbackdoorowaną usługą PAM, która całkowicie omija kontrole uwierzytelniania.
Operacja Highland pokazuje, że najniebezpieczniejsza trwałość nie wygląda jak malware – wygląda jak monit logowania, któremu ufasz każdego dnia.
imda.gov.sgBackdoor exploit against telecom systems
Początkowy punkt wejścia. Naruszenie prawdopodobnie rozpoczęło się od podłączonego do internetu, niezałatanego, przestarzałego urządzenia F5 BIG-IP, które nie zostało wycofane z użytku. Po przejęciu kontroli nad tym urządzeniem, napastnicy użyli go jako przyczółka do przemieszczania się w głąb sieci – docierając ostatecznie do segmentu odciętego od internetu (air-gap) .
Jak działał backdoor
Zamiast instalować niestandardowe złośliwe oprogramowanie, które skanery plików czy systemy EDR mogłyby w końcu wykryć, Velvet Ant podważył natywną architekturę zaufania systemu operacyjnego. Na dziesiątkach hostów grupa systematycznie zastępowała kluczowe komponenty uwierzytelniania Linuksa – konkretnie moduł pam_unix.so oraz kilka binariów OpenSSH – ich trojanizowanymi wersjami .
Taka podmiana dawała dwa potężne narzędzia w jednym implancie:
Ominięcie hasła głównego. Zbackdoorowane moduły zawierały zakodowane na stałe tajne hasło. Każde konto użytkownika było dostępne przy użyciu tylko tego jednego hasła, całkowicie omijając proces uwierzytelniania. Nawet jeśli administratorzy zmieniliby wszystkie dane logowania, intruzi nadal mogliby wejść głównym wejściem .
Ciche przechwytywanie danych uwierzytelniających. Każda legalna próba logowania była rejestrowana w czasie rzeczywistym. Hasła w formie jawnej wszystkich autoryzujących się użytkowników trafiały do ukrytego pliku /usr/share/awk/nullfile.awk. Pozwoliło to grupie Velvet Ant na zbieranie ważnych danych uwierzytelniających w całej sieci, bez generowania dodatkowego ruchu sieciowego .
Dlaczego standardowe czyszczenie nie działało
Tradycyjne procedury reagowania na incydenty nie są przystosowane do przeciwnika, który przekompilował pliki binarne logowania w twoim systemie operacyjnym. Raport Sygnii jasno wyjaśnia, dlaczego kilka pierwszych prób oczyszczenia sieci zakończyło się fiaskiem:
Luka w procesie czyszczenia. Standardowa ścieżka – usuń podejrzane pliki, zabij złośliwe procesy, zmień wszystkie hasła – nie miała żadnego wpływu na główny mechanizm utrzymywania się napastników. Zbackdoorowane moduły pam_unix.so i binaria SSH były legalnymi plikami systemowymi pod każdym względem, z wyjątkiem skompilowanej logiki działania .
Maskowanie metadanych. Napastnicy zachowali oryginalne nazwy, ścieżki, znaczniki czasu i zbliżone rozmiary plików. Każda kontrola integralności plików oparta wyłącznie na metadanych – co jest powszechne w wielu środowiskach korporacyjnych – nie wykazywała niczego podejrzanego .
Daremna rotacja haseł. Ze względu na zakodowane na stałe hasło główne w samym module uwierzytelniającym, resetowanie danych logowania użytkowników nie blokowało napastnikom dostępu .
Zdolność do samoreinstalacji. Dowody zebrane podczas śledztwa wskazały, że backdoor został zaprojektowany tak, by przetrwać częściową remediację. Jeśli zespół bezpieczeństwa wyczyścił część hostów, ale pozostawił skompromitowany stos uwierzytelniania na innych, grupa mogła przesunąć się poziomo i ponownie przejąć odbudowane maszyny .
Ostateczna rekomendacja Sygnii była jednoznaczna: sieć wymagała pełnej przebudowy systemu operacyjnego na każdym zaatakowanym hoście, z wykorzystaniem znanych, czystych nośników tylko do odczytu. Selektywne usuwanie plików lub częściowe przywracanie obrazu systemu było niewystarczające .
Metodyka operacyjna
Sukces Velvet Ant nie opiera się na egzotycznych łańcuchach ataków. Zamiast tego grupa demonstruje dojrzały model operacyjny, skoncentrowany na cierpliwości i maskowaniu się w warstwie uwierzytelniania.
Wzorzec operacyjny
Zaobserwowane zachowanie
Początkowy dostęp przez brzeg sieci
Wykorzystuje niezałatane urządzenia korporacyjne – zwłaszcza F5 BIG-IP i przełączniki Cisco Nexus – podłączone do internetu jako przyczółki do sieci wewnętrznych .
Subwersja uwierzytelniania jako główny implant
Unika instalowania konwencjonalnych trojanów zdalnego dostępu (RAT) na stacjach roboczych, a zamiast tego podmienia komponenty walidujące logowania w całej flocie Linuksów .
Nadmiarowa sieć trwałego dostępu
Utrzymuje wiele przyczółków w różnych segmentach sieci, aby utrata jednego punktu dostępu – a nawet całego urządzenia – nie zakończyła operacji .
Działanie z użyciem legalnych narzędzi (living-off-the-land)
Przemieszcza się poziomo, używając skradzionych danych uwierzytelniających i standardowych narzędzi administracyjnych, takich jak SSH, pozostawiając minimalną liczbę sygnatur niestandardowego malware do wykrycia .
Przechwytywanie danych uwierzytelniających na skalę przemysłową
Przechwytuje hasła w formie jawnej przy każdym udanym logowaniu w sieci, stale gromadząc ważne tożsamości bez dodatkowego szumu sieciowego .
Ekstremalnie długi czas utajenia
Prowadzi operacje latami, a nie dniami czy tygodniami. To powolne tempo oznacza, że krótkie okresy retencji logów i rutynowa konserwacja systemu mogą zatrzeć ślady kryminalistyczne .
Atrybucja i powiązane działania
Sygnia z dużą pewnością przypisuje Operację Highland grupie Velvet Ant i wiąże ją z celami chińskiego szpiegostwa państwowego . Grupa koncentruje się na dużych organizacjach w Azji Wschodniej, w szczególności na dostawcach usług telekomunikacyjnych i infrastrukturze krytycznej .
Wcześniejsze i równoległe kampanie dostarczają dodatkowego kontekstu. W odrębnym przypadku Velvet Ant używał przestarzałych urządzeń F5 BIG-IP jako serwerów proxy do dowodzenia i kontroli (C2) przez co najmniej trzy lata, zanim śledztwo Sygnii ujawniło tę aktywność . Zaobserwowano również, że grupa wykorzystywała malware PlugX i ShadowPad podczas wcześniejszych włamań, co wskazuje na szeroki arsenał obejmujący zarówno niestandardowe, jak i ogólnodostępne narzędzia .
Co powinni zrobić obrońcy
Najważniejsza lekcja z Operacji Highland jest taka, że tradycyjne zabezpieczenia punktów końcowych i rotacja danych uwierzytelniających nie wystarczają, gdy sam stos uwierzytelniania jest niewiarygodny.
Obrońcy powinni priorytetowo traktować monitorowanie integralności plików, które porównuje kryptograficzne sumy kontrolne krytycznych binariów systemowych – w tym /lib/security/pam_unix.so i demonów SSH – z zaufanymi wzorcami, a nie tylko z metadanymi. Niezbędne jest również centralne rejestrowanie wszystkich zdarzeń uwierzytelniania w niezmienialnym, zewnętrznym systemie, ponieważ napastnik z wystarczającym dostępem może manipulować logami na hoście. Uwierzytelnianie wieloskładnikowe (MFA) pozostaje cenną barierą, ale nie chroni bezpośrednio przed zbackdoorowaną usługą PAM, która całkowicie omija kontrole uwierzytelniania.
Operacja Highland pokazuje, że najniebezpieczniejsza trwałość nie wygląda jak malware – wygląda jak monit logowania, któremu ufasz każdego dnia.
imda.gov.sgBackdoor exploit against telecom systems
