Operation Highland: Så gömde sig kinesiska spioner i Linux inloggningssystem i tio år
Sygnia visar i Operation Highland hur gruppen Velvet Ant låg gömd i ett luftgapad nätverk i nästan tio år genom att byta ut Linux autentiseringsmoduler (pam unix.so) och OpenSSH binärer – inte genom traditionell skadl... Vanliga saneringsmetoder som att ta bort filer, döda processer och rotera lösenord var totalt ve...
Publicerad avRedigerad med DeepSeek-V4-ProBilder genererade med GPT Image 1.5
Sygnia visar i Operation Highland hur gruppen Velvet Ant låg gömd i ett luftgapad nätverk i nästan tio år genom att byta ut Linux autentiseringsmoduler (pam unix.so) och OpenSSH binärer – inte genom traditionell skadl...
Vanliga saneringsmetoder som att ta bort filer, döda processer och rotera lösenord var totalt verkningslösa eftersom de manipulerade filerna såg identiska ut med legitima systemfiler och innehöll ett hårdkodat huvudlö...
Gruppens tillvägagångssätt präglas av extremt tålamod och en förmåga att gömma sig i själva autentiseringsinfrastrukturen, vilket ställer helt nya krav på försvararnas övervakning och integritetskontroller [1][2].
What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and mVelvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com
Den Israel-baserade incidenthanteringsfirman Sygnia har publicerat resultaten från en utredning kallad Operation Highland – en av de mest disciplinerade och långvariga cyberspionagekampanjerna i modern tid. Aktiviteterna tillskrivs med hög säkerhet en Kina-kopplad hotgrupp som Sygnia spårar under namnet Velvet Ant. Operationen utmärker sig inte genom någon enskild, avancerad nolldagssårbarhet, utan genom en obevekligt enkel idé: att slå sig ner inuti den mjukvara som avgör vem som får logga in.
Intrånget som pågick i ett årtionde – steg för steg
Det utsatta nätverket saknade direkt internetanslutning och innehöll mycket känsliga system. Sygnia forensiska tidslinje visar att angriparna fick ett första fotfäste senast 2016, vilket gav gruppen en närvarotid på närmare tio år innan den upptäcktes .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Operation Highland: Så gömde sig kinesiska spioner i Linux inloggningssystem i tio år"?
Sygnia visar i Operation Highland hur gruppen Velvet Ant låg gömd i ett luftgapad nätverk i nästan tio år genom att byta ut Linux autentiseringsmoduler (pam unix.so) och OpenSSH binärer – inte genom traditionell skadl...
What are the key points to validate first?
Sygnia visar i Operation Highland hur gruppen Velvet Ant låg gömd i ett luftgapad nätverk i nästan tio år genom att byta ut Linux autentiseringsmoduler (pam unix.so) och OpenSSH binärer – inte genom traditionell skadl... Vanliga saneringsmetoder som att ta bort filer, döda processer och rotera lösenord var totalt verkningslösa eftersom de manipulerade filerna såg identiska ut med legitima systemfiler och innehöll ett hårdkodat huvudlö...
What should I do next in practice?
Gruppens tillvägagångssätt präglas av extremt tålamod och en förmåga att gömma sig i själva autentiseringsinfrastrukturen, vilket ställer helt nya krav på försvararnas övervakning och integritetskontroller [1][2].
Operation Highland: Så gömde sig kinesiska spioner i Linux inloggningssystem i tio år
Sygnia visar i Operation Highland hur gruppen Velvet Ant låg gömd i ett luftgapad nätverk i nästan tio år genom att byta ut Linux autentiseringsmoduler (pam unix.so) och OpenSSH binärer – inte genom traditionell skadl... Vanliga saneringsmetoder som att ta bort filer, döda processer och rotera lösenord var totalt ve...
Publicerad avRedigerad med DeepSeek-V4-ProBilder genererade med GPT Image 1.5
Sygnia visar i Operation Highland hur gruppen Velvet Ant låg gömd i ett luftgapad nätverk i nästan tio år genom att byta ut Linux autentiseringsmoduler (pam unix.so) och OpenSSH binärer – inte genom traditionell skadl...
Vanliga saneringsmetoder som att ta bort filer, döda processer och rotera lösenord var totalt verkningslösa eftersom de manipulerade filerna såg identiska ut med legitima systemfiler och innehöll ett hårdkodat huvudlö...
Gruppens tillvägagångssätt präglas av extremt tålamod och en förmåga att gömma sig i själva autentiseringsinfrastrukturen, vilket ställer helt nya krav på försvararnas övervakning och integritetskontroller [1][2].
What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and mVelvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com
Den Israel-baserade incidenthanteringsfirman Sygnia har publicerat resultaten från en utredning kallad Operation Highland – en av de mest disciplinerade och långvariga cyberspionagekampanjerna i modern tid. Aktiviteterna tillskrivs med hög säkerhet en Kina-kopplad hotgrupp som Sygnia spårar under namnet Velvet Ant. Operationen utmärker sig inte genom någon enskild, avancerad nolldagssårbarhet, utan genom en obevekligt enkel idé: att slå sig ner inuti den mjukvara som avgör vem som får logga in.
Intrånget som pågick i ett årtionde – steg för steg
Det utsatta nätverket saknade direkt internetanslutning och innehöll mycket känsliga system. Sygnia forensiska tidslinje visar att angriparna fick ett första fotfäste senast 2016, vilket gav gruppen en närvarotid på närmare tio år innan den upptäcktes .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Operation Highland: Så gömde sig kinesiska spioner i Linux inloggningssystem i tio år"?
Sygnia visar i Operation Highland hur gruppen Velvet Ant låg gömd i ett luftgapad nätverk i nästan tio år genom att byta ut Linux autentiseringsmoduler (pam unix.so) och OpenSSH binärer – inte genom traditionell skadl...
What are the key points to validate first?
Sygnia visar i Operation Highland hur gruppen Velvet Ant låg gömd i ett luftgapad nätverk i nästan tio år genom att byta ut Linux autentiseringsmoduler (pam unix.so) och OpenSSH binärer – inte genom traditionell skadl... Vanliga saneringsmetoder som att ta bort filer, döda processer och rotera lösenord var totalt verkningslösa eftersom de manipulerade filerna såg identiska ut med legitima systemfiler och innehöll ett hårdkodat huvudlö...
What should I do next in practice?
Gruppens tillvägagångssätt präglas av extremt tålamod och en förmåga att gömma sig i själva autentiseringsinfrastrukturen, vilket ställer helt nya krav på försvararnas övervakning och integritetskontroller [1][2].
Den första ingången. Intrånget inleddes sannolikt via en internetuppkopplad, ouppdaterad äldre F5 BIG-IP-appliance (en typ av nätverksenhet för lastbalansering och brandvägg) som organisationen inte hade fasat ut. När angriparna väl kontrollerade denna enhet använde de den som en språngbräda för att ta sig djupare in i nätverket – och nådde till slut det luftgapade interna segmentet .
Så fungerade bakdörren
Istället för att plantera skräddarsydd skadlig kod som filskannrar eller endpoint-skydd så småningom kunde flagga, vände sig Velvet Ant mot operativsystemets egen tillitsarkitektur. På dussintals värddatorer ersatte gruppen systematiskt centrala Linux-komponenter för autentisering – specifikt den pluggbara autentiseringsmodulen pam_unix.so och flera OpenSSH-binärer – med manipulerade versioner .
Denna enda manipulation gav två kraftfulla funktioner:
Huvudlösenord som genväg. De manipulerade modulerna innehöll ett hårdkodat hemligt lösenord. Vilket användarkonto som helst kunde nås med bara detta lösenord, vilket helt kringgick den normala autentiseringen. Även om administratörerna skulle rotera alla användaruppgifter kunde angriparna fortfarande kliva rakt in genom ytterdörren .
Tyst insamling av lösenord. Varje legitim inloggning fångades upp i realtid. Användarnas lösenord i klartext skrevs till en dold fil på sökvägen /usr/share/awk/nullfile.awk. Detta gjorde att Velvet Ant kunde samla in giltiga inloggningsuppgifter från hela användarbasen utan att skapa ytterligare nätverksbrus .
Varför vanlig sanering misslyckades
Traditionella metoder för incidenthantering är inte byggda för en motståndare som har kompilerat om operativsystemets inloggningsbinärer. Sygnias rapport visar tydligt varför de första saneringsförsöken inte fungerade:
Saneringsblinda fläckar. Standardåtgärderna – ta bort misstänkta filer, döda skadliga processer, byt alla lösenord – hade ingen effekt alls på angriparens primära metod för uthållighet. De manipulerade pam_unix.so- och SSH-binärerna var legitima systemfiler på alla sätt utom i sin kompilerade logik .
Maskering av metadata. Angriparna bevarade originalfilernas namn, sökvägar, tidsstämplar och ungefärliga filstorlekar. Alla integritetskontroller som enbart förlitade sig på filmetadata – vilket är vanligt i många företagsmiljöer – såg inget avvikande .
Meningslös lösenordsrotation. Eftersom det hårdkodade huvudlösenordet fanns inuti själva autentiseringsmodulen hjälpte det inte att återställa alla användares lösenord – angriparen kunde ändå logga in .
Självåterställande design. Bevis från utredningen visade att bakdörren var byggd för att överleva delvis sanering. Om säkerhetsteamet rensade några värddatorer men lät autentiseringsstacken vara manipulerad på andra, kunde gruppen förflytta sig i sidled igen och återkompromettera de återställda maskinerna .
Sygnias slutgiltiga åtgärdssteg var entydigt: nätverket krävde en fullständig ombyggnad av operativsystemet på varje drabbad värddator från känt, skrivskyddat medium. Att selektivt ta bort filer eller delvis återställa system var inte tillräckligt .
Mönstret i gruppens tillvägagångssätt
Velvet Ants framgång bygger inte på exotiska attackkedjor. Istället uppvisar gruppen ett moget operativt spelsätt som fokuserar på tålamod och kamouflage i autentiseringslagret.
Operativt mönster
Observerat beteende
Initial åtkomst via nätverkskanten
Utnyttjar ouppdaterade företagsapparater – främst F5 BIG-IP och Cisco Nexus-switchar – som exponerats mot internet för att skapa brohuvuden in i interna nätverk .
Autentiseringssubversion som främsta implantat
Undviker att placera traditionella fjärrstyrda trojaner (RAT:ar) på slutpunkter. Ersätter istället de komponenter som validerar användarinloggningar på Linux-maskiner .
Redundans i uthålligheten
Upprätthåller flera fotfästen över olika nätverkssegment så att förlusten av en åtkomstpunkt – eller till och med en hel nätverksenhet – inte avslutar operationen .
Leva på systemets egna verktyg
Förflyttar sig i sidled med stulna inloggningsuppgifter och standardverktyg som SSH, vilket lämnar minimalt med spår för detektionsverktyg .
Storskalig lösenordsinsamling
Fångar lösenord i klartext från varje lyckad inloggning i nätverket och ackumulerar stadigt giltiga identiteter utan extra nätverksbrus .
Extrem närvarotid
Arbetar över år snarare än dagar eller veckor. Detta låga och långsamma tempo gör att korta lagringsfönster för loggar och rutinmässigt systemunderhåll kan radera forensiska spår .
Attribution och relaterad aktivitet
Sygnia tillskriver Operation Highland till Velvet Ant med hög säkerhet och kopplar gruppen till Kina-stödda spionagemål . Gruppen fokuserar på stora organisationer i Östasien, särskilt telekommunikationsföretag och kritisk infrastruktur .
Tidigare och parallella kampanjer ger ytterligare sammanhang. I ett annat fall använde Velvet Ant äldre F5 BIG-IP-apparater som proxy för kommando- och kontrolltrafik i minst tre år innan Sygnias utredning upptäckte aktiviteten . Gruppen har också observerats använda skadlig programvara som PlugX och ShadowPad vid tidigare intrång, vilket indikerar en bred verktygslåda som spänner över både skräddarsydda och allmänt tillgängliga metoder .
Vad försvarare måste göra nu
Den enskilt viktigaste försvarsläxan från Operation Highland är att traditionellt slutpunktsskydd och lösenordsrotation inte räcker när själva autentiseringsstacken är opålitlig.
Försvarare bör prioritera filintegritetsövervakning som jämför kryptografiska hashvärden för kritiska systembinärer – inklusive /lib/security/pam_unix.so och SSH-daemonens binärer – mot kända originalversioner, inte bara mot filmetadata. Att logga alla autentiseringshändelser centralt till ett externt, oföränderligt system är också avgörande, eftersom en angripare med tillräcklig åtkomst kan manipulera loggar på den lokala värddatorn. Multifaktorautentisering är fortfarande en värdefull barriär, men den skyddar inte direkt mot en manipulerad PAM-tjänst som helt kringgår autentiseringskontroller.
Operation Highland visar att den farligaste uthålligheten inte liknar skadlig kod alls – den ser ut som inloggningsprompten du litar på varje dag.
imda.gov.sgBackdoor exploit against telecom systems
Den första ingången. Intrånget inleddes sannolikt via en internetuppkopplad, ouppdaterad äldre F5 BIG-IP-appliance (en typ av nätverksenhet för lastbalansering och brandvägg) som organisationen inte hade fasat ut. När angriparna väl kontrollerade denna enhet använde de den som en språngbräda för att ta sig djupare in i nätverket – och nådde till slut det luftgapade interna segmentet .
Så fungerade bakdörren
Istället för att plantera skräddarsydd skadlig kod som filskannrar eller endpoint-skydd så småningom kunde flagga, vände sig Velvet Ant mot operativsystemets egen tillitsarkitektur. På dussintals värddatorer ersatte gruppen systematiskt centrala Linux-komponenter för autentisering – specifikt den pluggbara autentiseringsmodulen pam_unix.so och flera OpenSSH-binärer – med manipulerade versioner .
Denna enda manipulation gav två kraftfulla funktioner:
Huvudlösenord som genväg. De manipulerade modulerna innehöll ett hårdkodat hemligt lösenord. Vilket användarkonto som helst kunde nås med bara detta lösenord, vilket helt kringgick den normala autentiseringen. Även om administratörerna skulle rotera alla användaruppgifter kunde angriparna fortfarande kliva rakt in genom ytterdörren .
Tyst insamling av lösenord. Varje legitim inloggning fångades upp i realtid. Användarnas lösenord i klartext skrevs till en dold fil på sökvägen /usr/share/awk/nullfile.awk. Detta gjorde att Velvet Ant kunde samla in giltiga inloggningsuppgifter från hela användarbasen utan att skapa ytterligare nätverksbrus .
Varför vanlig sanering misslyckades
Traditionella metoder för incidenthantering är inte byggda för en motståndare som har kompilerat om operativsystemets inloggningsbinärer. Sygnias rapport visar tydligt varför de första saneringsförsöken inte fungerade:
Saneringsblinda fläckar. Standardåtgärderna – ta bort misstänkta filer, döda skadliga processer, byt alla lösenord – hade ingen effekt alls på angriparens primära metod för uthållighet. De manipulerade pam_unix.so- och SSH-binärerna var legitima systemfiler på alla sätt utom i sin kompilerade logik .
Maskering av metadata. Angriparna bevarade originalfilernas namn, sökvägar, tidsstämplar och ungefärliga filstorlekar. Alla integritetskontroller som enbart förlitade sig på filmetadata – vilket är vanligt i många företagsmiljöer – såg inget avvikande .
Meningslös lösenordsrotation. Eftersom det hårdkodade huvudlösenordet fanns inuti själva autentiseringsmodulen hjälpte det inte att återställa alla användares lösenord – angriparen kunde ändå logga in .
Självåterställande design. Bevis från utredningen visade att bakdörren var byggd för att överleva delvis sanering. Om säkerhetsteamet rensade några värddatorer men lät autentiseringsstacken vara manipulerad på andra, kunde gruppen förflytta sig i sidled igen och återkompromettera de återställda maskinerna .
Sygnias slutgiltiga åtgärdssteg var entydigt: nätverket krävde en fullständig ombyggnad av operativsystemet på varje drabbad värddator från känt, skrivskyddat medium. Att selektivt ta bort filer eller delvis återställa system var inte tillräckligt .
Mönstret i gruppens tillvägagångssätt
Velvet Ants framgång bygger inte på exotiska attackkedjor. Istället uppvisar gruppen ett moget operativt spelsätt som fokuserar på tålamod och kamouflage i autentiseringslagret.
Operativt mönster
Observerat beteende
Initial åtkomst via nätverkskanten
Utnyttjar ouppdaterade företagsapparater – främst F5 BIG-IP och Cisco Nexus-switchar – som exponerats mot internet för att skapa brohuvuden in i interna nätverk .
Autentiseringssubversion som främsta implantat
Undviker att placera traditionella fjärrstyrda trojaner (RAT:ar) på slutpunkter. Ersätter istället de komponenter som validerar användarinloggningar på Linux-maskiner .
Redundans i uthålligheten
Upprätthåller flera fotfästen över olika nätverkssegment så att förlusten av en åtkomstpunkt – eller till och med en hel nätverksenhet – inte avslutar operationen .
Leva på systemets egna verktyg
Förflyttar sig i sidled med stulna inloggningsuppgifter och standardverktyg som SSH, vilket lämnar minimalt med spår för detektionsverktyg .
Storskalig lösenordsinsamling
Fångar lösenord i klartext från varje lyckad inloggning i nätverket och ackumulerar stadigt giltiga identiteter utan extra nätverksbrus .
Extrem närvarotid
Arbetar över år snarare än dagar eller veckor. Detta låga och långsamma tempo gör att korta lagringsfönster för loggar och rutinmässigt systemunderhåll kan radera forensiska spår .
Attribution och relaterad aktivitet
Sygnia tillskriver Operation Highland till Velvet Ant med hög säkerhet och kopplar gruppen till Kina-stödda spionagemål . Gruppen fokuserar på stora organisationer i Östasien, särskilt telekommunikationsföretag och kritisk infrastruktur .
Tidigare och parallella kampanjer ger ytterligare sammanhang. I ett annat fall använde Velvet Ant äldre F5 BIG-IP-apparater som proxy för kommando- och kontrolltrafik i minst tre år innan Sygnias utredning upptäckte aktiviteten . Gruppen har också observerats använda skadlig programvara som PlugX och ShadowPad vid tidigare intrång, vilket indikerar en bred verktygslåda som spänner över både skräddarsydda och allmänt tillgängliga metoder .
Vad försvarare måste göra nu
Den enskilt viktigaste försvarsläxan från Operation Highland är att traditionellt slutpunktsskydd och lösenordsrotation inte räcker när själva autentiseringsstacken är opålitlig.
Försvarare bör prioritera filintegritetsövervakning som jämför kryptografiska hashvärden för kritiska systembinärer – inklusive /lib/security/pam_unix.so och SSH-daemonens binärer – mot kända originalversioner, inte bara mot filmetadata. Att logga alla autentiseringshändelser centralt till ett externt, oföränderligt system är också avgörande, eftersom en angripare med tillräcklig åtkomst kan manipulera loggar på den lokala värddatorn. Multifaktorautentisering är fortfarande en värdefull barriär, men den skyddar inte direkt mot en manipulerad PAM-tjänst som helt kringgår autentiseringskontroller.
Operation Highland visar att den farligaste uthålligheten inte liknar skadlig kod alls – den ser ut som inloggningsprompten du litar på varje dag.
imda.gov.sgBackdoor exploit against telecom systems
