Ponto de entrada inicial. A violação provavelmente começou por meio de um dispositivo legado F5 BIG-IP voltado para a internet, que a organização não havia descontinuado e que estava sem os patches de segurança mais recentes. Uma vez que os invasores controlaram o dispositivo, eles o usaram como um ponto de pivô para se aprofundar — eventualmente alcançando o segmento interno isolado da internet .

Como o Backdoor Funcionava

Em vez de espalhar um malware personalizado que scanners de arquivos ou detecção de endpoint eventualmente sinalizariam, o Velvet Ant subverteu a própria arquitetura de confiança do sistema operacional. Em dezenas de hosts, o grupo substituiu sistematicamente componentes centrais de autenticação do Linux — especificamente o módulo de autenticação plugável pam_unix.so e vários binários do OpenSSH — por versões trojanizadas .

Essa substituição fornecia duas capacidades a partir de um único implante:

1. Acesso por senha mestra. Os módulos adulterados continham uma senha secreta codificada. Qualquer conta de usuário podia ser acessada apenas com essa senha, ignorando completamente a autenticação normal. Mesmo que os administradores trocassem todas as credenciais de usuário, os invasores ainda conseguiam entrar pela porta da frente .
2. Coleta silenciosa de credenciais. Cada evento de login legítimo era capturado em tempo real. As senhas em texto puro de cada usuário autenticado eram escritas em um arquivo oculto localizado em /usr/share/awk/nullfile.awk. Isso permitiu que o Velvet Ant coletasse credenciais válidas de toda a base de usuários sem gerar ruído adicional de movimento lateral .

Por Que a Limpeza Padrão Falhou

Os guias tradicionais de resposta a incidentes não são feitos para um inimigo que recompilou os binários de login do seu sistema operacional. O relatório da Sygnia deixa claro por que as primeiras tentativas de limpeza falharam:

• Lacuna na limpeza. O fluxo de trabalho padrão — remover arquivos suspeitos, encerrar processos maliciosos, trocar todas as senhas — teve efeito zero sobre o principal mecanismo de persistência do invasor. O pam_unix.so e os binários SSH trojanizados eram arquivos legítimos do sistema em todos os sentidos, exceto em sua lógica compilada .
• Mascaramento de metadados. Os invasores preservaram os nomes de arquivo, caminhos, carimbos de data/hora e aproximadamente os mesmos tamanhos de arquivo originais. Qualquer verificação de integridade de arquivo que dependesse apenas de metadados — o que é comum em muitos ambientes corporativos — não via nada de errado .
• Futilidade da rotação de senhas. Como a senha mestra codificada vivia dentro do próprio módulo de autenticação, redefinir as credenciais de cada usuário não fazia nada para bloquear o adversário .
• Design de reinstalação automática. Evidências coletadas durante a investigação indicaram que o backdoor foi construído para sobreviver a uma remediação parcial. Se a equipe de segurança limpasse vários hosts, mas deixasse a pilha de autenticação comprometida em outros, o grupo poderia se mover lateralmente novamente e recomprometer as máquinas reconstruídas .

A etapa final de remediação da Sygnia foi inequívoca: a rede exigiu uma reconstrução completa do sistema operacional de cada host afetado a partir de uma mídia somente leitura comprovadamente íntegra. A remoção seletiva de arquivos ou a recriação de imagem parcial do sistema foram insuficientes .

O Padrão de Técnica Operacional

O sucesso do Velvet Ant não depende de cadeias de ataque exóticas. Em vez disso, o grupo demonstra um manual operacional maduro focado em paciência e camuflagem na camada de autenticação.

Atribuição e Atividades Relacionadas

A Sygnia atribui a Operação Highland ao Velvet Ant com alta confiança e vincula o grupo a objetivos de espionagem patrocinados pelo Estado chinês . O grupo foca em grandes organizações no Leste Asiático, particularmente provedores de telecomunicações e infraestrutura crítica .

Campanhas anteriores e paralelas fornecem contexto adicional. Em um caso separado, o Velvet Ant usou dispositivos legados F5 BIG-IP como proxies de comando e controle (C2) por pelo menos três anos antes que a investigação da Sygnia descobrisse a atividade . O grupo também foi observado implantando malwares PlugX e ShadowPad durante invasões anteriores, indicando um amplo arsenal que abrange tanto capacidades personalizadas quanto publicamente disponíveis .

O Que os Defensores Devem Fazer Agora

A lição de defesa mais importante da Operação Highland é que a proteção de endpoint tradicional e a rotação de credenciais não são suficientes quando a própria pilha de autenticação não é confiável.

Os defensores devem priorizar o monitoramento de integridade de arquivos que compara hashes criptográficos de binários críticos do sistema — incluindo /lib/security/pam_unix.so e binários do daemon SSH — com linhas de base íntegras conhecidas, não apenas os metadados dos arquivos. Registrar centralmente todos os eventos de autenticação em um sistema externo e imutável também é essencial, pois um invasor com acesso suficiente pode adulterar os logs no próprio host. A autenticação multifator continua sendo uma barreira valiosa, mas não protege diretamente contra um serviço PAM adulterado que ignora completamente as verificações de autenticação.

A Operação Highland mostra que a persistência mais perigosa não se parece em nada com um malware — ela se parece com a própria tela de login em que você confia todos os dias.

Ponto de entrada inicial. A violação provavelmente começou por meio de um dispositivo legado F5 BIG-IP voltado para a internet, que a organização não havia descontinuado e que estava sem os patches de segurança mais recentes. Uma vez que os invasores controlaram o dispositivo, eles o usaram como um ponto de pivô para se aprofundar — eventualmente alcançando o segmento interno isolado da internet .

Como o Backdoor Funcionava

Em vez de espalhar um malware personalizado que scanners de arquivos ou detecção de endpoint eventualmente sinalizariam, o Velvet Ant subverteu a própria arquitetura de confiança do sistema operacional. Em dezenas de hosts, o grupo substituiu sistematicamente componentes centrais de autenticação do Linux — especificamente o módulo de autenticação plugável pam_unix.so e vários binários do OpenSSH — por versões trojanizadas .

Essa substituição fornecia duas capacidades a partir de um único implante:

1. Acesso por senha mestra. Os módulos adulterados continham uma senha secreta codificada. Qualquer conta de usuário podia ser acessada apenas com essa senha, ignorando completamente a autenticação normal. Mesmo que os administradores trocassem todas as credenciais de usuário, os invasores ainda conseguiam entrar pela porta da frente .
2. Coleta silenciosa de credenciais. Cada evento de login legítimo era capturado em tempo real. As senhas em texto puro de cada usuário autenticado eram escritas em um arquivo oculto localizado em /usr/share/awk/nullfile.awk. Isso permitiu que o Velvet Ant coletasse credenciais válidas de toda a base de usuários sem gerar ruído adicional de movimento lateral .

Por Que a Limpeza Padrão Falhou

Os guias tradicionais de resposta a incidentes não são feitos para um inimigo que recompilou os binários de login do seu sistema operacional. O relatório da Sygnia deixa claro por que as primeiras tentativas de limpeza falharam:

• Lacuna na limpeza. O fluxo de trabalho padrão — remover arquivos suspeitos, encerrar processos maliciosos, trocar todas as senhas — teve efeito zero sobre o principal mecanismo de persistência do invasor. O pam_unix.so e os binários SSH trojanizados eram arquivos legítimos do sistema em todos os sentidos, exceto em sua lógica compilada .
• Mascaramento de metadados. Os invasores preservaram os nomes de arquivo, caminhos, carimbos de data/hora e aproximadamente os mesmos tamanhos de arquivo originais. Qualquer verificação de integridade de arquivo que dependesse apenas de metadados — o que é comum em muitos ambientes corporativos — não via nada de errado .
• Futilidade da rotação de senhas. Como a senha mestra codificada vivia dentro do próprio módulo de autenticação, redefinir as credenciais de cada usuário não fazia nada para bloquear o adversário .
• Design de reinstalação automática. Evidências coletadas durante a investigação indicaram que o backdoor foi construído para sobreviver a uma remediação parcial. Se a equipe de segurança limpasse vários hosts, mas deixasse a pilha de autenticação comprometida em outros, o grupo poderia se mover lateralmente novamente e recomprometer as máquinas reconstruídas .

A etapa final de remediação da Sygnia foi inequívoca: a rede exigiu uma reconstrução completa do sistema operacional de cada host afetado a partir de uma mídia somente leitura comprovadamente íntegra. A remoção seletiva de arquivos ou a recriação de imagem parcial do sistema foram insuficientes .

O Padrão de Técnica Operacional

O sucesso do Velvet Ant não depende de cadeias de ataque exóticas. Em vez disso, o grupo demonstra um manual operacional maduro focado em paciência e camuflagem na camada de autenticação.

Atribuição e Atividades Relacionadas

A Sygnia atribui a Operação Highland ao Velvet Ant com alta confiança e vincula o grupo a objetivos de espionagem patrocinados pelo Estado chinês . O grupo foca em grandes organizações no Leste Asiático, particularmente provedores de telecomunicações e infraestrutura crítica .

Campanhas anteriores e paralelas fornecem contexto adicional. Em um caso separado, o Velvet Ant usou dispositivos legados F5 BIG-IP como proxies de comando e controle (C2) por pelo menos três anos antes que a investigação da Sygnia descobrisse a atividade . O grupo também foi observado implantando malwares PlugX e ShadowPad durante invasões anteriores, indicando um amplo arsenal que abrange tanto capacidades personalizadas quanto publicamente disponíveis .

O Que os Defensores Devem Fazer Agora

A lição de defesa mais importante da Operação Highland é que a proteção de endpoint tradicional e a rotação de credenciais não são suficientes quando a própria pilha de autenticação não é confiável.

Os defensores devem priorizar o monitoramento de integridade de arquivos que compara hashes criptográficos de binários críticos do sistema — incluindo /lib/security/pam_unix.so e binários do daemon SSH — com linhas de base íntegras conhecidas, não apenas os metadados dos arquivos. Registrar centralmente todos os eventos de autenticação em um sistema externo e imutável também é essencial, pois um invasor com acesso suficiente pode adulterar os logs no próprio host. A autenticação multifator continua sendo uma barreira valiosa, mas não protege diretamente contra um serviço PAM adulterado que ignora completamente as verificações de autenticação.

A Operação Highland mostra que a persistência mais perigosa não se parece em nada com um malware — ela se parece com a própria tela de login em que você confia todos os dias.