Dentro da Operação Highland: Como o Velvet Ant se Escondeu no Login do Linux por uma Década

A empresa israelense de resposta a incidentes Sygnia publicou as conclusões de uma investigação chamada Operação Highland que expõe uma das campanhas de espionagem cibernética mais disciplinadas e duradouras da memória recente. A atividade é atribuída com alta confiança a um grupo de ameaça ligado à China, rastreado pela Sygnia como Velvet Ant. A operação não se define por um novo "zero-day" espetacular, mas por uma ideia implacavelmente simples: viver dentro do próprio software que decide quem pode fazer o login.

A Invasão de Longa Duração, Passo a Passo

A rede da vítima não tinha conexão direta com a internet e abrigava sistemas altamente sensíveis. A linha do tempo forense da Sygnia indica que os invasores obtiveram um ponto de apoio pelo menos desde 2016, dando ao grupo um tempo de permanência no ambiente de quase dez anos .

Ponto de entrada inicial. A violação provavelmente começou por meio de um dispositivo legado F5 BIG-IP voltado para a internet, que a organização não havia descontinuado e que estava sem os patches de segurança mais recentes. Uma vez que os invasores controlaram o dispositivo, eles o usaram como um ponto de pivô para se aprofundar — eventualmente alcançando o segmento interno isolado da internet .

Como o Backdoor Funcionava

Em vez de espalhar um malware personalizado que scanners de arquivos ou detecção de endpoint eventualmente sinalizariam, o Velvet Ant subverteu a própria arquitetura de confiança do sistema operacional. Em dezenas de hosts, o grupo substituiu sistematicamente componentes centrais de autenticação do Linux — especificamente o módulo de autenticação plugável pam_unix.so e vários binários do OpenSSH — por versões trojanizadas .

Essa substituição fornecia duas capacidades a partir de um único implante:

1. Acesso por senha mestra. Os módulos adulterados continham uma senha secreta codificada. Qualquer conta de usuário podia ser acessada apenas com essa senha, ignorando completamente a autenticação normal. Mesmo que os administradores trocassem todas as credenciais de usuário, os invasores ainda conseguiam entrar pela porta da frente .
2. Coleta silenciosa de credenciais. Cada evento de login legítimo era capturado em tempo real. As senhas em texto puro de cada usuário autenticado eram escritas em um arquivo oculto localizado em /usr/share/awk/nullfile.awk. Isso permitiu que o Velvet Ant coletasse credenciais válidas de toda a base de usuários sem gerar ruído adicional de movimento lateral .

Por Que a Limpeza Padrão Falhou

Os guias tradicionais de resposta a incidentes não são feitos para um inimigo que recompilou os binários de login do seu sistema operacional. O relatório da Sygnia deixa claro por que as primeiras tentativas de limpeza falharam:

• Lacuna na limpeza. O fluxo de trabalho padrão — remover arquivos suspeitos, encerrar processos maliciosos, trocar todas as senhas — teve efeito zero sobre o principal mecanismo de persistência do invasor. O pam_unix.so e os binários SSH trojanizados eram arquivos legítimos do sistema em todos os sentidos, exceto em sua lógica compilada .
• Mascaramento de metadados. Os invasores preservaram os nomes de arquivo, caminhos, carimbos de data/hora e aproximadamente os mesmos tamanhos de arquivo originais. Qualquer verificação de integridade de arquivo que dependesse apenas de metadados — o que é comum em muitos ambientes corporativos — não via nada de errado .
• Futilidade da rotação de senhas. Como a senha mestra codificada vivia dentro do próprio módulo de autenticação, redefinir as credenciais de cada usuário não fazia nada para bloquear o adversário .
• Design de reinstalação automática. Evidências coletadas durante a investigação indicaram que o backdoor foi construído para sobreviver a uma remediação parcial. Se a equipe de segurança limpasse vários hosts, mas deixasse a pilha de autenticação comprometida em outros, o grupo poderia se mover lateralmente novamente e recomprometer as máquinas reconstruídas .

A etapa final de remediação da Sygnia foi inequívoca: a rede exigiu uma reconstrução completa do sistema operacional de cada host afetado a partir de uma mídia somente leitura comprovadamente íntegra. A remoção seletiva de arquivos ou a recriação de imagem parcial do sistema foram insuficientes .

O Padrão de Técnica Operacional

O sucesso do Velvet Ant não depende de cadeias de ataque exóticas. Em vez disso, o grupo demonstra um manual operacional maduro focado em paciência e camuflagem na camada de autenticação.

Padrão Operacional	Comportamento Observado
Acesso inicial pela borda da rede	Explora dispositivos corporativos sem correção — notadamente F5 BIG-IP e switches Cisco Nexus — que estão expostos à internet como pontes para as redes internas .
Subversão da autenticação como implante principal	Evita implantar Trojans de Acesso Remoto (RATs) convencionais nos endpoints e, em vez disso, substitui os componentes que validam os logins de usuários em toda a frota Linux .
Malha de persistência redundante	Mantém múltiplos pontos de apoio em diferentes segmentos de rede para que a perda de um ponto de acesso — ou mesmo de um dispositivo inteiro — não encerre a operação .
Viver da terra (Living-off-the-land)	Move-se lateralmente usando credenciais roubadas e ferramentas administrativas padrão, como o SSH, deixando assinaturas mínimas de malware personalizado para as ferramentas de detecção encontrarem .
Coleta de credenciais em escala industrial	Captura senhas em texto puro de cada login bem-sucedido na rede, acumulando consistentemente identidades válidas sem ruído adicional na rede .
Tempo de permanência extremo	Opera ao longo de anos, em vez de dias ou semanas. Esse ritmo lento significa que janelas curtas de retenção de logs e a manutenção rotineira do sistema podem apagar evidências forenses .

Atribuição e Atividades Relacionadas

A Sygnia atribui a Operação Highland ao Velvet Ant com alta confiança e vincula o grupo a objetivos de espionagem patrocinados pelo Estado chinês . O grupo foca em grandes organizações no Leste Asiático, particularmente provedores de telecomunicações e infraestrutura crítica .

Campanhas anteriores e paralelas fornecem contexto adicional. Em um caso separado, o Velvet Ant usou dispositivos legados F5 BIG-IP como proxies de comando e controle (C2) por pelo menos três anos antes que a investigação da Sygnia descobrisse a atividade . O grupo também foi observado implantando malwares PlugX e ShadowPad durante invasões anteriores, indicando um amplo arsenal que abrange tanto capacidades personalizadas quanto publicamente disponíveis .

O Que os Defensores Devem Fazer Agora

A lição de defesa mais importante da Operação Highland é que a proteção de endpoint tradicional e a rotação de credenciais não são suficientes quando a própria pilha de autenticação não é confiável.

Os defensores devem priorizar o monitoramento de integridade de arquivos que compara hashes criptográficos de binários críticos do sistema — incluindo /lib/security/pam_unix.so e binários do daemon SSH — com linhas de base íntegras conhecidas, não apenas os metadados dos arquivos. Registrar centralmente todos os eventos de autenticação em um sistema externo e imutável também é essencial, pois um invasor com acesso suficiente pode adulterar os logs no próprio host. A autenticação multifator continua sendo uma barreira valiosa, mas não protege diretamente contra um serviço PAM adulterado que ignora completamente as verificações de autenticação.

A Operação Highland mostra que a persistência mais perigosa não se parece em nada com um malware — ela se parece com a própria tela de login em que você confia todos os dias.