ปฏิบัติการไฮแลนด์: แกะรอย Velvet Ant ฝังตัวในระบบล็อกอินลินุกซ์นานนับสิบปี

การแทนที่นี้ทำให้มีสองความสามารถจากอุปกรณ์ฝังตัวเพียงชิ้นเดียว:

1. การบายพาสด้วยรหัสผ่านหลัก โมดูลที่ถูกฝังแบ็คดอร์มีรหัสผ่านลับฝังอยู่ในโค้ดโดยตรง (Hardcoded) ทำให้ทุกบัญชีผู้ใช้สามารถเข้าถึงได้ด้วยรหัสผ่านนี้เพียงอย่างเดียว โดยไม่ต้องผ่านการตรวจสอบสิทธิ์ปกติเลย แม้ว่าผู้ดูแลระบบจะเปลี่ยนข้อมูลประจำตัวทั้งหมด ผู้บุกรุกก็ยังคงเดินเข้าประตูหน้าได้อย่างสบาย
2. การเก็บเกี่ยวข้อมูลประจำตัวอย่างเงียบเชียบ ทุกเหตุการณ์การเข้าสู่ระบบที่ถูกต้องจะถูกดักจับแบบเรียลไทม์ รหัสผ่านที่พิมพ์แบบไม่เข้ารหัส (Clear-text) ของผู้ใช้ทุกคนที่ตรวจสอบสิทธิ์จะถูกเขียนลงในไฟล์ที่ซ่อนไว้ที่ /usr/share/awk/nullfile.awk ทำให้ Velvet Ant สามารถรวบรวมข้อมูลประจำตัวที่ถูกต้องของผู้ใช้ทั้งหมดได้โดยไม่ต้องสร้างสัญญาณรบกวนจากการเคลื่อนที่ด้านข้างเพิ่มเติม

เหตุใดการทำความสะอาดแบบมาตรฐานจึงล้มเหลว

คู่มือรับมือเหตุการณ์แบบดั้งเดิมไม่ได้ถูกสร้างมาเพื่อรับมือกับศัตรูที่คอมไพล์โปรแกรมล็อกอินของระบบปฏิบัติการคุณขึ้นมาใหม่ รายงานของ Sygnia ทำให้ชัดเจนว่าทำไมความพยายามในการทำความสะอาดในช่วงแรกๆ ถึงล้มเหลวหลายครั้ง:

• ช่องว่างในการทำความสะอาด ขั้นตอนมาตรฐานอย่างการลบไฟล์ต้องสงสัย, หยุดกระบวนการอันตราย, และเปลี่ยนรหัสผ่านทั้งหมด ไม่มีผลใดๆ ต่อกลไกการคงอยู่หลักของผู้บุกรุกเลย เนื่องจาก pam_unix.so และโปรแกรม SSH ที่ถูกติดตั้งโทรจันเป็นไฟล์ระบบที่ถูกต้องตามกฎหมายในทุกแง่มุม เว้นแต่ตรรกะที่ถูกคอมไพล์ขึ้นมาใหม่
• การปิดบังเมตาดาตา ผู้บุกรุกคงชื่อไฟล์ต้นฉบับ, พาธ, เวลาประทับ (Timestamp), และขนาดไฟล์โดยประมาณไว้เหมือนเดิม การตรวจสอบความสมบูรณ์ของไฟล์ใดๆ ที่ใช้เพียงเมตาดาตาของไฟล์ ซึ่งเป็นเรื่องปกติในสภาพแวดล้อมองค์กรหลายแห่ง จะไม่เห็นสิ่งผิดปกติใดๆ
• ความไร้ประโยชน์ของการเปลี่ยนรหัสผ่าน เนื่องจากรหัสผ่านหลักที่ถูกฝังไว้อยู่ในตัวโมดูลตรวจสอบสิทธิ์เอง การรีเซ็ตข้อมูลประจำตัวของผู้ใช้ทุกคนจึงไม่สามารถล็อกผู้บุกรุกออกจากระบบได้
• การออกแบบให้ติดตั้งใหม่ได้ด้วยตัวเอง หลักฐานที่รวบรวมได้ระหว่างการสอบสวนชี้ว่าแบ็คดอร์ถูกสร้างขึ้นมาให้รอดพ้นจากการแก้ไขเพียงบางส่วน หากทีมความปลอดภัยทำความสะอาดโฮสต์หลายเครื่องแต่ยังคงปล่อยให้ระบบตรวจสอบสิทธิ์ถูกบุกรุกในเครื่องอื่น ผู้บุกรุกก็สามารถเคลื่อนที่ด้านข้างได้อีกและบุกรุกเครื่องที่สร้างขึ้นมาใหม่ได้อีกครั้ง

ขั้นตอนการแก้ไขสุดท้ายของ Sygnia นั้นชัดเจน: เครือข่ายจำเป็นต้องสร้างระบบปฏิบัติการใหม่ทั้งหมด (Full OS Rebuild) ในทุกโฮสต์ที่ได้รับผลกระทบจากสื่อที่ทราบว่าปลอดภัย อ่านได้อย่างเดียว (Known-good, Read-only Media) การลบไฟล์แบบเลือกหรือการรีอิมเมจเพียงบางส่วนนั้นไม่เพียงพอ

รูปแบบกลยุทธ์การปฏิบัติการ

ความสำเร็จของ Velvet Ant ไม่ได้ขึ้นอยู่กับห่วงโซ่การโจมตีที่แปลกใหม่ แต่กลุ่มกลับแสดงให้เห็นถึงคู่มือปฏิบัติการที่เติบโตเต็มที่ซึ่งมุ่งเน้นไปที่ความอดทนและการอำพรางในระดับการตรวจสอบสิทธิ์

การระบุที่มาและกิจกรรมที่เกี่ยวข้อง

Sygnia ระบุว่าปฏิบัติการไฮแลนด์เป็นฝีมือของ Velvet Ant ด้วยความมั่นใจสูง และเชื่อมโยงกลุ่มนี้เข้ากับวัตถุประสงค์ในการจารกรรมที่ได้รับการสนับสนุนจากรัฐของจีน กลุ่มมุ่งเน้นไปที่องค์กรขนาดใหญ่ในเอเชียตะวันออก โดยเฉพาะอย่างยิ่งผู้ให้บริการโทรคมนาคมและโครงสร้างพื้นฐานที่สำคัญ

ปฏิบัติการก่อนหน้าและที่เกิดขึ้นควบคู่กันให้บริบทเพิ่มเติม ในอีกกรณีหนึ่ง Velvet Ant ได้ใช้เครื่องใช้ F5 BIG-IP รุ่นเก่าเป็นพร็อกซีสั่งการและควบคุม (C2) เป็นเวลาอย่างน้อยสามปีก่อนที่การสืบสวนของ Sygnia จะเปิดเผยกิจกรรมนี้ ยังมีการสังเกตพบว่ากลุ่มได้ติดตั้งมัลแวร์ PlugX และ ShadowPad ระหว่างการบุกรุกก่อนหน้านี้ ซึ่งบ่งบอกถึงการมีชุดเครื่องมือที่กว้างขวางซึ่งครอบคลุมทั้งความสามารถที่กำหนดเองและที่เปิดเผยต่อสาธารณะ

ผู้ดูแลระบบควรทำอะไรในตอนนี้

บทเรียนการป้องกันที่สำคัญที่สุดจากปฏิบัติการไฮแลนด์คือ การป้องกันจุดสิ้นสุดและการเปลี่ยนรหัสผ่านแบบเดิมนั้นไม่เพียงพอเมื่อระบบที่ใช้ตรวจสอบสิทธิ์นั้นไม่น่าไว้วางใจ

ผู้ดูแลระบบควรให้ความสำคัญกับการตรวจสอบความสมบูรณ์ของไฟล์ (File Integrity Monitoring) ซึ่งเปรียบเทียบแฮชของการเข้ารหัส (Cryptographic Hashes) ของไฟล์ระบบที่สำคัญ รวมถึง /lib/security/pam_unix.so และโปรแกรม SSH daemon กับค่าพื้นฐานที่ทราบว่าดี (Known-good Baselines) ไม่ใช่แค่เมตาดาตาของไฟล์ การบันทึกเหตุการณ์การตรวจสอบสิทธิ์ทั้งหมดไปยังระบบภายนอกที่แก้ไขไม่ได้และเป็นส่วนกลางก็เป็นสิ่งจำเป็น เพราะผู้บุกรุกที่มีสิทธิ์การเข้าถึงเพียงพอสามารถแก้ไขบันทึกบนโฮสต์ได้ การยืนยันตัวตนแบบหลายปัจจัย (MFA) ยังคงเป็นปราการที่มีค่า แต่ก็ไม่ได้ป้องกันโดยตรงกับบริการ PAM ที่ฝังแบ็คดอร์ซึ่งข้ามการตรวจสอบการยืนยันตัวตนไปทั้งหมด

ปฏิบัติการไฮแลนด์แสดงให้เห็นว่า การคงอยู่ที่อันตรายที่สุดนั้นไม่ได้ดูเหมือนมัลแวร์เลย มันดูเหมือนหน้าจอขอรหัสผ่านที่คุณเชื่อใจทุกวัน