Operation Highland: Så gömde sig kinesiska spioner i Linux inloggningssystem i tio år

Den Israel-baserade incidenthanteringsfirman Sygnia har publicerat resultaten från en utredning kallad Operation Highland – en av de mest disciplinerade och långvariga cyberspionagekampanjerna i modern tid. Aktiviteterna tillskrivs med hög säkerhet en Kina-kopplad hotgrupp som Sygnia spårar under namnet Velvet Ant . Operationen utmärker sig inte genom någon enskild, avancerad nolldagssårbarhet, utan genom en obevekligt enkel idé: att slå sig ner inuti den mjukvara som avgör vem som får logga in.

Intrånget som pågick i ett årtionde – steg för steg

Det utsatta nätverket saknade direkt internetanslutning och innehöll mycket känsliga system. Sygnia forensiska tidslinje visar att angriparna fick ett första fotfäste senast 2016, vilket gav gruppen en närvarotid på närmare tio år innan den upptäcktes .

Den första ingången. Intrånget inleddes sannolikt via en internetuppkopplad, ouppdaterad äldre F5 BIG-IP-appliance (en typ av nätverksenhet för lastbalansering och brandvägg) som organisationen inte hade fasat ut. När angriparna väl kontrollerade denna enhet använde de den som en språngbräda för att ta sig djupare in i nätverket – och nådde till slut det luftgapade interna segmentet .

Så fungerade bakdörren

Istället för att plantera skräddarsydd skadlig kod som filskannrar eller endpoint-skydd så småningom kunde flagga, vände sig Velvet Ant mot operativsystemets egen tillitsarkitektur. På dussintals värddatorer ersatte gruppen systematiskt centrala Linux-komponenter för autentisering – specifikt den pluggbara autentiseringsmodulen pam_unix.so och flera OpenSSH-binärer – med manipulerade versioner .

Denna enda manipulation gav två kraftfulla funktioner:

1. Huvudlösenord som genväg. De manipulerade modulerna innehöll ett hårdkodat hemligt lösenord. Vilket användarkonto som helst kunde nås med bara detta lösenord, vilket helt kringgick den normala autentiseringen. Även om administratörerna skulle rotera alla användaruppgifter kunde angriparna fortfarande kliva rakt in genom ytterdörren .
2. Tyst insamling av lösenord. Varje legitim inloggning fångades upp i realtid. Användarnas lösenord i klartext skrevs till en dold fil på sökvägen /usr/share/awk/nullfile.awk. Detta gjorde att Velvet Ant kunde samla in giltiga inloggningsuppgifter från hela användarbasen utan att skapa ytterligare nätverksbrus .

Varför vanlig sanering misslyckades

Traditionella metoder för incidenthantering är inte byggda för en motståndare som har kompilerat om operativsystemets inloggningsbinärer. Sygnias rapport visar tydligt varför de första saneringsförsöken inte fungerade:

• Saneringsblinda fläckar. Standardåtgärderna – ta bort misstänkta filer, döda skadliga processer, byt alla lösenord – hade ingen effekt alls på angriparens primära metod för uthållighet. De manipulerade pam_unix.so- och SSH-binärerna var legitima systemfiler på alla sätt utom i sin kompilerade logik .
• Maskering av metadata. Angriparna bevarade originalfilernas namn, sökvägar, tidsstämplar och ungefärliga filstorlekar. Alla integritetskontroller som enbart förlitade sig på filmetadata – vilket är vanligt i många företagsmiljöer – såg inget avvikande .
• Meningslös lösenordsrotation. Eftersom det hårdkodade huvudlösenordet fanns inuti själva autentiseringsmodulen hjälpte det inte att återställa alla användares lösenord – angriparen kunde ändå logga in .
• Självåterställande design. Bevis från utredningen visade att bakdörren var byggd för att överleva delvis sanering. Om säkerhetsteamet rensade några värddatorer men lät autentiseringsstacken vara manipulerad på andra, kunde gruppen förflytta sig i sidled igen och återkompromettera de återställda maskinerna .

Sygnias slutgiltiga åtgärdssteg var entydigt: nätverket krävde en fullständig ombyggnad av operativsystemet på varje drabbad värddator från känt, skrivskyddat medium. Att selektivt ta bort filer eller delvis återställa system var inte tillräckligt .

Mönstret i gruppens tillvägagångssätt

Velvet Ants framgång bygger inte på exotiska attackkedjor. Istället uppvisar gruppen ett moget operativt spelsätt som fokuserar på tålamod och kamouflage i autentiseringslagret.

Operativt mönster	Observerat beteende
Initial åtkomst via nätverkskanten	Utnyttjar ouppdaterade företagsapparater – främst F5 BIG-IP och Cisco Nexus-switchar – som exponerats mot internet för att skapa brohuvuden in i interna nätverk .
Autentiseringssubversion som främsta implantat	Undviker att placera traditionella fjärrstyrda trojaner (RAT:ar) på slutpunkter. Ersätter istället de komponenter som validerar användarinloggningar på Linux-maskiner .
Redundans i uthålligheten	Upprätthåller flera fotfästen över olika nätverkssegment så att förlusten av en åtkomstpunkt – eller till och med en hel nätverksenhet – inte avslutar operationen .
Leva på systemets egna verktyg	Förflyttar sig i sidled med stulna inloggningsuppgifter och standardverktyg som SSH, vilket lämnar minimalt med spår för detektionsverktyg .
Storskalig lösenordsinsamling	Fångar lösenord i klartext från varje lyckad inloggning i nätverket och ackumulerar stadigt giltiga identiteter utan extra nätverksbrus .
Extrem närvarotid	Arbetar över år snarare än dagar eller veckor. Detta låga och långsamma tempo gör att korta lagringsfönster för loggar och rutinmässigt systemunderhåll kan radera forensiska spår .

Attribution och relaterad aktivitet

Sygnia tillskriver Operation Highland till Velvet Ant med hög säkerhet och kopplar gruppen till Kina-stödda spionagemål . Gruppen fokuserar på stora organisationer i Östasien, särskilt telekommunikationsföretag och kritisk infrastruktur .

Tidigare och parallella kampanjer ger ytterligare sammanhang. I ett annat fall använde Velvet Ant äldre F5 BIG-IP-apparater som proxy för kommando- och kontrolltrafik i minst tre år innan Sygnias utredning upptäckte aktiviteten . Gruppen har också observerats använda skadlig programvara som PlugX och ShadowPad vid tidigare intrång, vilket indikerar en bred verktygslåda som spänner över både skräddarsydda och allmänt tillgängliga metoder .

Vad försvarare måste göra nu

Den enskilt viktigaste försvarsläxan från Operation Highland är att traditionellt slutpunktsskydd och lösenordsrotation inte räcker när själva autentiseringsstacken är opålitlig.

Försvarare bör prioritera filintegritetsövervakning som jämför kryptografiska hashvärden för kritiska systembinärer – inklusive /lib/security/pam_unix.so och SSH-daemonens binärer – mot kända originalversioner, inte bara mot filmetadata. Att logga alla autentiseringshändelser centralt till ett externt, oföränderligt system är också avgörande, eftersom en angripare med tillräcklig åtkomst kan manipulera loggar på den lokala värddatorn. Multifaktorautentisering är fortfarande en värdefull barriär, men den skyddar inte direkt mot en manipulerad PAM-tjänst som helt kringgår autentiseringskontroller.

Operation Highland visar att den farligaste uthålligheten inte liknar skadlig kod alls – den ser ut som inloggningsprompten du litar på varje dag.