คำตอบการวิจัย
ประเด็นสำคัญ การสอบสวนปฏิบัติการไฮแลนด์ของ Sygnia พบว่ากลุ่ม Velvet Ant ที่มีสายสัมพันธ์กับจีน ซ่อนตัวในเครือข่ายที่มีความอ่อนไหวสูงและแยกขาดจากอินเทอร์เน็ต (Air Gapped) นานเกือบ 10 ปี ด้วยการแทนที่โมดูล pam unix.so ของลินุกซ์และโ... มาตรการรับมือมาตรฐาน เช่น การลบไฟล์ การหยุดกระบวนการ และการเปลี่ยนรหัสผ่าน ไม่ส่งผลใดๆ เลย เพราะโปรแกรมตรวจสอบสิทธิ์ที่ถูกดัดแปลงมีลักษณะภายนอกเหมือนกับของจริงทุกประการและฝังรหัสผ่านลับหลักไว้ภายในตัวมันเอง กลยุทธ์ของกลุ่มมุ่งเน้นความอดทนขั้นสูงและการโค่นล้มระบบพิสูจน์ตัวตน มากกว่าความใหม่ทางเทคนิค ทำให้ผู้ดูแลระบบต้องหันมาให้ความสำคัญกับการตรวจสอบความถูกต้องของไฟล์ระบบในระดับแฮช (Cryptographic Hash) อย่างเข้มงวด What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m Velvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com Sygnia บริษัทด้านการรับมือภัยคุกคามทางไซเบอร์จากอิสราเอล ได้เผยแพร่ผลการสืบสวนในชื่อ ปฏิบัติการไฮแลนด์ (Operation Highland) ซึ่งเปิดโปงหนึ่งในปฏิบัติการจารกรรมทางไซเบอร์ที่ดำเนินมาอย่างยาวนานและมีวินัยมากที่สุดในความทรงจำช่วงหลังนี้ กิจกรรมดังกล่าวได้รับการระบุด้วยความมั่นใจสูงว่ามาจากกลุ่มภัยคุกคามที่มีสายสัมพันธ์กับจีน ซึ่ง Sygnia ใช้ชื่อติดตามว่า Velvet Ant ปฏิบัติการนี้ไม่ได้ถูกนิยามด้วยช่องโหว่ซีโร่เดย์ตัวใหม่เพียงตัวเดียว แต่เกิดจากแนวคิดที่เรียบง่ายอย่างไร้ความปรานี นั่นคือ การเข้าไปอาศัยอยู่ในซอฟต์แวร์ที่ทำหน้าที่ตัดสินว่าใครมีสิทธิ์เข้าสู่ระบบได้
เจาะลึกการบุกรุกยาวนานนับทศวรรษ ทีละขั้นตอน
เครือข่ายของเหยื่อไม่มีการเชื่อมต่ออินเทอร์เน็ตโดยตรงและเป็นที่ตั้งของระบบที่มีความอ่อนไหวสูง เส้นเวลาทางนิติวิทยาศาสตร์ของ Sygnia ระบุว่าผู้บุกรุกได้วางรากฐานอย่างน้อยที่สุดตั้งแต่ปี 2016 ทำให้กลุ่มสามารถอาศัยอยู่ในสภาพแวดล้อมดังกล่าวได้นานถึงเกือบสิบปี
คนยังถาม คำตอบสั้น ๆ สำหรับ "ปฏิบัติการไฮแลนด์: แกะรอย Velvet Ant ฝังตัวในระบบล็อกอินลินุกซ์นานนับสิบปี" คืออะไร การสอบสวนปฏิบัติการไฮแลนด์ของ Sygnia พบว่ากลุ่ม Velvet Ant ที่มีสายสัมพันธ์กับจีน ซ่อนตัวในเครือข่ายที่มีความอ่อนไหวสูงและแยกขาดจากอินเทอร์เน็ต (Air Gapped) นานเกือบ 10 ปี ด้วยการแทนที่โมดูล pam unix.so ของลินุกซ์และโ...
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? การสอบสวนปฏิบัติการไฮแลนด์ของ Sygnia พบว่ากลุ่ม Velvet Ant ที่มีสายสัมพันธ์กับจีน ซ่อนตัวในเครือข่ายที่มีความอ่อนไหวสูงและแยกขาดจากอินเทอร์เน็ต (Air Gapped) นานเกือบ 10 ปี ด้วยการแทนที่โมดูล pam unix.so ของลินุกซ์และโ... มาตรการรับมือมาตรฐาน เช่น การลบไฟล์ การหยุดกระบวนการ และการเปลี่ยนรหัสผ่าน ไม่ส่งผลใดๆ เลย เพราะโปรแกรมตรวจสอบสิทธิ์ที่ถูกดัดแปลงมีลักษณะภายนอกเหมือนกับของจริงทุกประการและฝังรหัสผ่านลับหลักไว้ภายในตัวมันเอง
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? กลยุทธ์ของกลุ่มมุ่งเน้นความอดทนขั้นสูงและการโค่นล้มระบบพิสูจน์ตัวตน มากกว่าความใหม่ทางเทคนิค ทำให้ผู้ดูแลระบบต้องหันมาให้ความสำคัญกับการตรวจสอบความถูกต้องของไฟล์ระบบในระดับแฮช (Cryptographic Hash) อย่างเข้มงวด
คำตอบการวิจัย
ประเด็นสำคัญ การสอบสวนปฏิบัติการไฮแลนด์ของ Sygnia พบว่ากลุ่ม Velvet Ant ที่มีสายสัมพันธ์กับจีน ซ่อนตัวในเครือข่ายที่มีความอ่อนไหวสูงและแยกขาดจากอินเทอร์เน็ต (Air Gapped) นานเกือบ 10 ปี ด้วยการแทนที่โมดูล pam unix.so ของลินุกซ์และโ... มาตรการรับมือมาตรฐาน เช่น การลบไฟล์ การหยุดกระบวนการ และการเปลี่ยนรหัสผ่าน ไม่ส่งผลใดๆ เลย เพราะโปรแกรมตรวจสอบสิทธิ์ที่ถูกดัดแปลงมีลักษณะภายนอกเหมือนกับของจริงทุกประการและฝังรหัสผ่านลับหลักไว้ภายในตัวมันเอง กลยุทธ์ของกลุ่มมุ่งเน้นความอดทนขั้นสูงและการโค่นล้มระบบพิสูจน์ตัวตน มากกว่าความใหม่ทางเทคนิค ทำให้ผู้ดูแลระบบต้องหันมาให้ความสำคัญกับการตรวจสอบความถูกต้องของไฟล์ระบบในระดับแฮช (Cryptographic Hash) อย่างเข้มงวด What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m Velvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com Sygnia บริษัทด้านการรับมือภัยคุกคามทางไซเบอร์จากอิสราเอล ได้เผยแพร่ผลการสืบสวนในชื่อ ปฏิบัติการไฮแลนด์ (Operation Highland) ซึ่งเปิดโปงหนึ่งในปฏิบัติการจารกรรมทางไซเบอร์ที่ดำเนินมาอย่างยาวนานและมีวินัยมากที่สุดในความทรงจำช่วงหลังนี้ กิจกรรมดังกล่าวได้รับการระบุด้วยความมั่นใจสูงว่ามาจากกลุ่มภัยคุกคามที่มีสายสัมพันธ์กับจีน ซึ่ง Sygnia ใช้ชื่อติดตามว่า Velvet Ant ปฏิบัติการนี้ไม่ได้ถูกนิยามด้วยช่องโหว่ซีโร่เดย์ตัวใหม่เพียงตัวเดียว แต่เกิดจากแนวคิดที่เรียบง่ายอย่างไร้ความปรานี นั่นคือ การเข้าไปอาศัยอยู่ในซอฟต์แวร์ที่ทำหน้าที่ตัดสินว่าใครมีสิทธิ์เข้าสู่ระบบได้
เจาะลึกการบุกรุกยาวนานนับทศวรรษ ทีละขั้นตอน
เครือข่ายของเหยื่อไม่มีการเชื่อมต่ออินเทอร์เน็ตโดยตรงและเป็นที่ตั้งของระบบที่มีความอ่อนไหวสูง เส้นเวลาทางนิติวิทยาศาสตร์ของ Sygnia ระบุว่าผู้บุกรุกได้วางรากฐานอย่างน้อยที่สุดตั้งแต่ปี 2016 ทำให้กลุ่มสามารถอาศัยอยู่ในสภาพแวดล้อมดังกล่าวได้นานถึงเกือบสิบปี
คนยังถาม คำตอบสั้น ๆ สำหรับ "ปฏิบัติการไฮแลนด์: แกะรอย Velvet Ant ฝังตัวในระบบล็อกอินลินุกซ์นานนับสิบปี" คืออะไร การสอบสวนปฏิบัติการไฮแลนด์ของ Sygnia พบว่ากลุ่ม Velvet Ant ที่มีสายสัมพันธ์กับจีน ซ่อนตัวในเครือข่ายที่มีความอ่อนไหวสูงและแยกขาดจากอินเทอร์เน็ต (Air Gapped) นานเกือบ 10 ปี ด้วยการแทนที่โมดูล pam unix.so ของลินุกซ์และโ...
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? การสอบสวนปฏิบัติการไฮแลนด์ของ Sygnia พบว่ากลุ่ม Velvet Ant ที่มีสายสัมพันธ์กับจีน ซ่อนตัวในเครือข่ายที่มีความอ่อนไหวสูงและแยกขาดจากอินเทอร์เน็ต (Air Gapped) นานเกือบ 10 ปี ด้วยการแทนที่โมดูล pam unix.so ของลินุกซ์และโ... มาตรการรับมือมาตรฐาน เช่น การลบไฟล์ การหยุดกระบวนการ และการเปลี่ยนรหัสผ่าน ไม่ส่งผลใดๆ เลย เพราะโปรแกรมตรวจสอบสิทธิ์ที่ถูกดัดแปลงมีลักษณะภายนอกเหมือนกับของจริงทุกประการและฝังรหัสผ่านลับหลักไว้ภายในตัวมันเอง
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? กลยุทธ์ของกลุ่มมุ่งเน้นความอดทนขั้นสูงและการโค่นล้มระบบพิสูจน์ตัวตน มากกว่าความใหม่ทางเทคนิค ทำให้ผู้ดูแลระบบต้องหันมาให้ความสำคัญกับการตรวจสอบความถูกต้องของไฟล์ระบบในระดับแฮช (Cryptographic Hash) อย่างเข้มงวด
จุดเริ่มต้นของการโจมตี การรั่วไหลของข้อมูลน่าจะเริ่มต้นจากอุปกรณ์ F5 BIG-IP รุ่นเก่าที่ไม่ได้อัปเดตแพตช์และเชื่อมต่อกับอินเทอร์เน็ต ซึ่งองค์กรไม่ได้ปลดระวางออกไป เมื่อผู้โจมตีควบคุมอุปกรณ์นี้ได้แล้ว พวกเขาก็ใช้มันเป็นจุดเชื่อมต่อเพื่อเจาะลึกลงไปอีก จนในที่สุดก็สามารถเข้าถึงเครือข่ายภายในที่ถูกตัดขาดจากโลกภายนอกได้
กลไกของแบ็คดอร์ทำงานอย่างไร การแทนที่นี้ทำให้มีสองความสามารถจากอุปกรณ์ฝังตัวเพียงชิ้นเดียว:
การบายพาสด้วยรหัสผ่านหลัก โมดูลที่ถูกฝังแบ็คดอร์มีรหัสผ่านลับฝังอยู่ในโค้ดโดยตรง (Hardcoded) ทำให้ทุกบัญชีผู้ใช้สามารถเข้าถึงได้ด้วยรหัสผ่านนี้เพียงอย่างเดียว โดยไม่ต้องผ่านการตรวจสอบสิทธิ์ปกติเลย แม้ว่าผู้ดูแลระบบจะเปลี่ยนข้อมูลประจำตัวทั้งหมด ผู้บุกรุกก็ยังคงเดินเข้าประตูหน้าได้อย่างสบาย การเก็บเกี่ยวข้อมูลประจำตัวอย่างเงียบเชียบ ทุกเหตุการณ์การเข้าสู่ระบบที่ถูกต้องจะถูกดักจับแบบเรียลไทม์ รหัสผ่านที่พิมพ์แบบไม่เข้ารหัส (Clear-text) ของผู้ใช้ทุกคนที่ตรวจสอบสิทธิ์จะถูกเขียนลงในไฟล์ที่ซ่อนไว้ที่ /usr/share/awk/nullfile.awk ทำให้ Velvet Ant สามารถรวบรวมข้อมูลประจำตัวที่ถูกต้องของผู้ใช้ทั้งหมดได้โดยไม่ต้องสร้างสัญญาณรบกวนจากการเคลื่อนที่ด้านข้างเพิ่มเติม
เหตุใดการทำความสะอาดแบบมาตรฐานจึงล้มเหลว คู่มือรับมือเหตุการณ์แบบดั้งเดิมไม่ได้ถูกสร้างมาเพื่อรับมือกับศัตรูที่คอมไพล์โปรแกรมล็อกอินของระบบปฏิบัติการคุณขึ้นมาใหม่ รายงานของ Sygnia ทำให้ชัดเจนว่าทำไมความพยายามในการทำความสะอาดในช่วงแรกๆ ถึงล้มเหลวหลายครั้ง:
ช่องว่างในการทำความสะอาด ขั้นตอนมาตรฐานอย่างการลบไฟล์ต้องสงสัย, หยุดกระบวนการอันตราย, และเปลี่ยนรหัสผ่านทั้งหมด ไม่มีผลใดๆ ต่อกลไกการคงอยู่หลักของผู้บุกรุกเลย เนื่องจาก pam_unix.so และโปรแกรม SSH ที่ถูกติดตั้งโทรจันเป็นไฟล์ระบบที่ถูกต้องตามกฎหมายในทุกแง่มุม เว้นแต่ตรรกะที่ถูกคอมไพล์ขึ้นมาใหม่ การปิดบังเมตาดาตา ผู้บุกรุกคงชื่อไฟล์ต้นฉบับ, พาธ, เวลาประทับ (Timestamp), และขนาดไฟล์โดยประมาณไว้เหมือนเดิม การตรวจสอบความสมบูรณ์ของไฟล์ใดๆ ที่ใช้เพียงเมตาดาตาของไฟล์ ซึ่งเป็นเรื่องปกติในสภาพแวดล้อมองค์กรหลายแห่ง จะไม่เห็นสิ่งผิดปกติใดๆ ความไร้ประโยชน์ของการเปลี่ยนรหัสผ่าน เนื่องจากรหัสผ่านหลักที่ถูกฝังไว้อยู่ในตัวโมดูลตรวจสอบสิทธิ์เอง การรีเซ็ตข้อมูลประจำตัวของผู้ใช้ทุกคนจึงไม่สามารถล็อกผู้บุกรุกออกจากระบบได้ การออกแบบให้ติดตั้งใหม่ได้ด้วยตัวเอง หลักฐานที่รวบรวมได้ระหว่างการสอบสวนชี้ว่าแบ็คดอร์ถูกสร้างขึ้นมาให้รอดพ้นจากการแก้ไขเพียงบางส่วน หากทีมความปลอดภัยทำความสะอาดโฮสต์หลายเครื่องแต่ยังคงปล่อยให้ระบบตรวจสอบสิทธิ์ถูกบุกรุกในเครื่องอื่น ผู้บุกรุกก็สามารถเคลื่อนที่ด้านข้างได้อีกและบุกรุกเครื่องที่สร้างขึ้นมาใหม่ได้อีกครั้ง ขั้นตอนการแก้ไขสุดท้ายของ Sygnia นั้นชัดเจน: เครือข่ายจำเป็นต้องสร้างระบบปฏิบัติการใหม่ทั้งหมด (Full OS Rebuild) ในทุกโฮสต์ที่ได้รับผลกระทบจากสื่อที่ทราบว่าปลอดภัย อ่านได้อย่างเดียว (Known-good, Read-only Media) การลบไฟล์แบบเลือกหรือการรีอิมเมจเพียงบางส่วนนั้นไม่เพียงพอ
รูปแบบกลยุทธ์การปฏิบัติการ ความสำเร็จของ Velvet Ant ไม่ได้ขึ้นอยู่กับห่วงโซ่การโจมตีที่แปลกใหม่ แต่กลุ่มกลับแสดงให้เห็นถึงคู่มือปฏิบัติการที่เติบโตเต็มที่ซึ่งมุ่งเน้นไปที่ความอดทนและการอำพรางในระดับการตรวจสอบสิทธิ์
รูปแบบปฏิบัติการ พฤติกรรมที่สังเกตพบ การเข้าถึงเริ่มต้นจากขอบเครือข่าย ใช้ประโยชน์จากอุปกรณ์เอนเตอร์ไพรส์ที่ไม่ได้แพตช์ โดยเฉพาะ F5 BIG-IP และ Cisco Nexus switches ที่เชื่อมต่อกับอินเทอร์เน็ตเพื่อเป็นหัวหาดเข้าสู่เครือข่ายภายใน การบ่อนทำลายการตรวจสอบสิทธิ์ในฐานะอิมแพลนต์หลัก หลีกเลี่ยงการติดตั้งโทรจันรีโมทแอคเซส (RAT) แบบเดิมบนจุดสิ้นสุด แต่แทนที่องค์ประกอบที่ตรวจสอบการล็อกอินของผู้ใช้ทั่วทั้งระบบลินุกซ์ ระบบตาข่ายการคงอยู่ที่ซ้ำซ้อน รักษาฐานที่มั่นหลายแห่งในส่วนเครือข่ายต่างๆ เพื่อที่การสูญเสียจุดเชื่อมต่อหนึ่ง หรือแม้แต่อุปกรณ์ทั้งชิ้น จะไม่ทำให้ปฏิบัติการสิ้นสุดลง การใช้ชีวิตนอกแผ่นดิน (Living-off-the-Land) เคลื่อนที่ด้านข้างโดยใช้ข้อมูลประจำตัวที่ขโมยมาและเครื่องมือจัดการระบบมาตรฐาน เช่น SSH ทำให้เหลือลายเซ็นมัลแวร์ที่กำหนดเองน้อยที่สุดให้เครื่องมือตรวจจับหาเจอ การเก็บเกี่ยวข้อมูลประจำตัวระดับอุตสาหกรรม จับรหัสผ่านแบบไม่เข้ารหัสจากการล็อกอินสำเร็จทุกครั้งทั่วเครือข่าย สะสมอัตลักษณ์ที่ถูกต้องอย่างต่อเนื่องโดยไม่มีสัญญาณรบกวนเครือข่ายเพิ่มเติม ระยะเวลาการอยู่อาศัยที่ยาวนานมาก ปฏิบัติการกินเวลานานหลายปีแทนที่จะเป็นหลายวันหรือหลายสัปดาห์ จังหวะที่ช้าและเนียนนี้หมายความว่าช่วงเวลาเก็บรักษาบันทึกที่สั้นและการบำรุงรักษาระบบตามปกติสามารถลบหลักฐานทางนิติวิทยาศาสตร์ได้
การระบุที่มาและกิจกรรมที่เกี่ยวข้อง
ผู้ดูแลระบบควรทำอะไรในตอนนี้ บทเรียนการป้องกันที่สำคัญที่สุดจากปฏิบัติการไฮแลนด์คือ การป้องกันจุดสิ้นสุดและการเปลี่ยนรหัสผ่านแบบเดิมนั้นไม่เพียงพอเมื่อระบบที่ใช้ตรวจสอบสิทธิ์นั้นไม่น่าไว้วางใจ
ผู้ดูแลระบบควรให้ความสำคัญกับการตรวจสอบความสมบูรณ์ของไฟล์ (File Integrity Monitoring) ซึ่งเปรียบเทียบแฮชของการเข้ารหัส (Cryptographic Hashes) ของไฟล์ระบบที่สำคัญ รวมถึง /lib/security/pam_unix.so และโปรแกรม SSH daemon กับค่าพื้นฐานที่ทราบว่าดี (Known-good Baselines) ไม่ใช่แค่เมตาดาตาของไฟล์ การบันทึกเหตุการณ์การตรวจสอบสิทธิ์ทั้งหมดไปยังระบบภายนอกที่แก้ไขไม่ได้และเป็นส่วนกลางก็เป็นสิ่งจำเป็น เพราะผู้บุกรุกที่มีสิทธิ์การเข้าถึงเพียงพอสามารถแก้ไขบันทึกบนโฮสต์ได้ การยืนยันตัวตนแบบหลายปัจจัย (MFA) ยังคงเป็นปราการที่มีค่า แต่ก็ไม่ได้ป้องกันโดยตรงกับบริการ PAM ที่ฝังแบ็คดอร์ซึ่งข้ามการตรวจสอบการยืนยันตัวตนไปทั้งหมด
ปฏิบัติการไฮแลนด์แสดงให้เห็นว่า การคงอยู่ที่อันตรายที่สุดนั้นไม่ได้ดูเหมือนมัลแวร์เลย มันดูเหมือนหน้าจอขอรหัสผ่านที่คุณเชื่อใจทุกวัน
จุดเริ่มต้นของการโจมตี การรั่วไหลของข้อมูลน่าจะเริ่มต้นจากอุปกรณ์ F5 BIG-IP รุ่นเก่าที่ไม่ได้อัปเดตแพตช์และเชื่อมต่อกับอินเทอร์เน็ต ซึ่งองค์กรไม่ได้ปลดระวางออกไป เมื่อผู้โจมตีควบคุมอุปกรณ์นี้ได้แล้ว พวกเขาก็ใช้มันเป็นจุดเชื่อมต่อเพื่อเจาะลึกลงไปอีก จนในที่สุดก็สามารถเข้าถึงเครือข่ายภายในที่ถูกตัดขาดจากโลกภายนอกได้
กลไกของแบ็คดอร์ทำงานอย่างไร การแทนที่นี้ทำให้มีสองความสามารถจากอุปกรณ์ฝังตัวเพียงชิ้นเดียว:
การบายพาสด้วยรหัสผ่านหลัก โมดูลที่ถูกฝังแบ็คดอร์มีรหัสผ่านลับฝังอยู่ในโค้ดโดยตรง (Hardcoded) ทำให้ทุกบัญชีผู้ใช้สามารถเข้าถึงได้ด้วยรหัสผ่านนี้เพียงอย่างเดียว โดยไม่ต้องผ่านการตรวจสอบสิทธิ์ปกติเลย แม้ว่าผู้ดูแลระบบจะเปลี่ยนข้อมูลประจำตัวทั้งหมด ผู้บุกรุกก็ยังคงเดินเข้าประตูหน้าได้อย่างสบาย การเก็บเกี่ยวข้อมูลประจำตัวอย่างเงียบเชียบ ทุกเหตุการณ์การเข้าสู่ระบบที่ถูกต้องจะถูกดักจับแบบเรียลไทม์ รหัสผ่านที่พิมพ์แบบไม่เข้ารหัส (Clear-text) ของผู้ใช้ทุกคนที่ตรวจสอบสิทธิ์จะถูกเขียนลงในไฟล์ที่ซ่อนไว้ที่ /usr/share/awk/nullfile.awk ทำให้ Velvet Ant สามารถรวบรวมข้อมูลประจำตัวที่ถูกต้องของผู้ใช้ทั้งหมดได้โดยไม่ต้องสร้างสัญญาณรบกวนจากการเคลื่อนที่ด้านข้างเพิ่มเติม
เหตุใดการทำความสะอาดแบบมาตรฐานจึงล้มเหลว คู่มือรับมือเหตุการณ์แบบดั้งเดิมไม่ได้ถูกสร้างมาเพื่อรับมือกับศัตรูที่คอมไพล์โปรแกรมล็อกอินของระบบปฏิบัติการคุณขึ้นมาใหม่ รายงานของ Sygnia ทำให้ชัดเจนว่าทำไมความพยายามในการทำความสะอาดในช่วงแรกๆ ถึงล้มเหลวหลายครั้ง:
ช่องว่างในการทำความสะอาด ขั้นตอนมาตรฐานอย่างการลบไฟล์ต้องสงสัย, หยุดกระบวนการอันตราย, และเปลี่ยนรหัสผ่านทั้งหมด ไม่มีผลใดๆ ต่อกลไกการคงอยู่หลักของผู้บุกรุกเลย เนื่องจาก pam_unix.so และโปรแกรม SSH ที่ถูกติดตั้งโทรจันเป็นไฟล์ระบบที่ถูกต้องตามกฎหมายในทุกแง่มุม เว้นแต่ตรรกะที่ถูกคอมไพล์ขึ้นมาใหม่ การปิดบังเมตาดาตา ผู้บุกรุกคงชื่อไฟล์ต้นฉบับ, พาธ, เวลาประทับ (Timestamp), และขนาดไฟล์โดยประมาณไว้เหมือนเดิม การตรวจสอบความสมบูรณ์ของไฟล์ใดๆ ที่ใช้เพียงเมตาดาตาของไฟล์ ซึ่งเป็นเรื่องปกติในสภาพแวดล้อมองค์กรหลายแห่ง จะไม่เห็นสิ่งผิดปกติใดๆ ความไร้ประโยชน์ของการเปลี่ยนรหัสผ่าน เนื่องจากรหัสผ่านหลักที่ถูกฝังไว้อยู่ในตัวโมดูลตรวจสอบสิทธิ์เอง การรีเซ็ตข้อมูลประจำตัวของผู้ใช้ทุกคนจึงไม่สามารถล็อกผู้บุกรุกออกจากระบบได้ การออกแบบให้ติดตั้งใหม่ได้ด้วยตัวเอง หลักฐานที่รวบรวมได้ระหว่างการสอบสวนชี้ว่าแบ็คดอร์ถูกสร้างขึ้นมาให้รอดพ้นจากการแก้ไขเพียงบางส่วน หากทีมความปลอดภัยทำความสะอาดโฮสต์หลายเครื่องแต่ยังคงปล่อยให้ระบบตรวจสอบสิทธิ์ถูกบุกรุกในเครื่องอื่น ผู้บุกรุกก็สามารถเคลื่อนที่ด้านข้างได้อีกและบุกรุกเครื่องที่สร้างขึ้นมาใหม่ได้อีกครั้ง ขั้นตอนการแก้ไขสุดท้ายของ Sygnia นั้นชัดเจน: เครือข่ายจำเป็นต้องสร้างระบบปฏิบัติการใหม่ทั้งหมด (Full OS Rebuild) ในทุกโฮสต์ที่ได้รับผลกระทบจากสื่อที่ทราบว่าปลอดภัย อ่านได้อย่างเดียว (Known-good, Read-only Media) การลบไฟล์แบบเลือกหรือการรีอิมเมจเพียงบางส่วนนั้นไม่เพียงพอ
รูปแบบกลยุทธ์การปฏิบัติการ ความสำเร็จของ Velvet Ant ไม่ได้ขึ้นอยู่กับห่วงโซ่การโจมตีที่แปลกใหม่ แต่กลุ่มกลับแสดงให้เห็นถึงคู่มือปฏิบัติการที่เติบโตเต็มที่ซึ่งมุ่งเน้นไปที่ความอดทนและการอำพรางในระดับการตรวจสอบสิทธิ์
รูปแบบปฏิบัติการ พฤติกรรมที่สังเกตพบ การเข้าถึงเริ่มต้นจากขอบเครือข่าย ใช้ประโยชน์จากอุปกรณ์เอนเตอร์ไพรส์ที่ไม่ได้แพตช์ โดยเฉพาะ F5 BIG-IP และ Cisco Nexus switches ที่เชื่อมต่อกับอินเทอร์เน็ตเพื่อเป็นหัวหาดเข้าสู่เครือข่ายภายใน การบ่อนทำลายการตรวจสอบสิทธิ์ในฐานะอิมแพลนต์หลัก หลีกเลี่ยงการติดตั้งโทรจันรีโมทแอคเซส (RAT) แบบเดิมบนจุดสิ้นสุด แต่แทนที่องค์ประกอบที่ตรวจสอบการล็อกอินของผู้ใช้ทั่วทั้งระบบลินุกซ์ ระบบตาข่ายการคงอยู่ที่ซ้ำซ้อน รักษาฐานที่มั่นหลายแห่งในส่วนเครือข่ายต่างๆ เพื่อที่การสูญเสียจุดเชื่อมต่อหนึ่ง หรือแม้แต่อุปกรณ์ทั้งชิ้น จะไม่ทำให้ปฏิบัติการสิ้นสุดลง การใช้ชีวิตนอกแผ่นดิน (Living-off-the-Land) เคลื่อนที่ด้านข้างโดยใช้ข้อมูลประจำตัวที่ขโมยมาและเครื่องมือจัดการระบบมาตรฐาน เช่น SSH ทำให้เหลือลายเซ็นมัลแวร์ที่กำหนดเองน้อยที่สุดให้เครื่องมือตรวจจับหาเจอ การเก็บเกี่ยวข้อมูลประจำตัวระดับอุตสาหกรรม จับรหัสผ่านแบบไม่เข้ารหัสจากการล็อกอินสำเร็จทุกครั้งทั่วเครือข่าย สะสมอัตลักษณ์ที่ถูกต้องอย่างต่อเนื่องโดยไม่มีสัญญาณรบกวนเครือข่ายเพิ่มเติม ระยะเวลาการอยู่อาศัยที่ยาวนานมาก ปฏิบัติการกินเวลานานหลายปีแทนที่จะเป็นหลายวันหรือหลายสัปดาห์ จังหวะที่ช้าและเนียนนี้หมายความว่าช่วงเวลาเก็บรักษาบันทึกที่สั้นและการบำรุงรักษาระบบตามปกติสามารถลบหลักฐานทางนิติวิทยาศาสตร์ได้
การระบุที่มาและกิจกรรมที่เกี่ยวข้อง
ผู้ดูแลระบบควรทำอะไรในตอนนี้ บทเรียนการป้องกันที่สำคัญที่สุดจากปฏิบัติการไฮแลนด์คือ การป้องกันจุดสิ้นสุดและการเปลี่ยนรหัสผ่านแบบเดิมนั้นไม่เพียงพอเมื่อระบบที่ใช้ตรวจสอบสิทธิ์นั้นไม่น่าไว้วางใจ
ผู้ดูแลระบบควรให้ความสำคัญกับการตรวจสอบความสมบูรณ์ของไฟล์ (File Integrity Monitoring) ซึ่งเปรียบเทียบแฮชของการเข้ารหัส (Cryptographic Hashes) ของไฟล์ระบบที่สำคัญ รวมถึง /lib/security/pam_unix.so และโปรแกรม SSH daemon กับค่าพื้นฐานที่ทราบว่าดี (Known-good Baselines) ไม่ใช่แค่เมตาดาตาของไฟล์ การบันทึกเหตุการณ์การตรวจสอบสิทธิ์ทั้งหมดไปยังระบบภายนอกที่แก้ไขไม่ได้และเป็นส่วนกลางก็เป็นสิ่งจำเป็น เพราะผู้บุกรุกที่มีสิทธิ์การเข้าถึงเพียงพอสามารถแก้ไขบันทึกบนโฮสต์ได้ การยืนยันตัวตนแบบหลายปัจจัย (MFA) ยังคงเป็นปราการที่มีค่า แต่ก็ไม่ได้ป้องกันโดยตรงกับบริการ PAM ที่ฝังแบ็คดอร์ซึ่งข้ามการตรวจสอบการยืนยันตัวตนไปทั้งหมด
ปฏิบัติการไฮแลนด์แสดงให้เห็นว่า การคงอยู่ที่อันตรายที่สุดนั้นไม่ได้ดูเหมือนมัลแวร์เลย มันดูเหมือนหน้าจอขอรหัสผ่านที่คุณเชื่อใจทุกวัน
