pam_unix.soการแทนที่นี้ทำให้มีสองความสามารถจากอุปกรณ์ฝังตัวเพียงชิ้นเดียว:
/usr/share/awk/nullfile.awk ทำให้ Velvet Ant สามารถรวบรวมข้อมูลประจำตัวที่ถูกต้องของผู้ใช้ทั้งหมดได้โดยไม่ต้องสร้างสัญญาณรบกวนจากการเคลื่อนที่ด้านข้างเพิ่มเติม คู่มือรับมือเหตุการณ์แบบดั้งเดิมไม่ได้ถูกสร้างมาเพื่อรับมือกับศัตรูที่คอมไพล์โปรแกรมล็อกอินของระบบปฏิบัติการคุณขึ้นมาใหม่ รายงานของ Sygnia ทำให้ชัดเจนว่าทำไมความพยายามในการทำความสะอาดในช่วงแรกๆ ถึงล้มเหลวหลายครั้ง:
pam_unix.so และโปรแกรม SSH ที่ถูกติดตั้งโทรจันเป็นไฟล์ระบบที่ถูกต้องตามกฎหมายในทุกแง่มุม เว้นแต่ตรรกะที่ถูกคอมไพล์ขึ้นมาใหม่ ขั้นตอนการแก้ไขสุดท้ายของ Sygnia นั้นชัดเจน: เครือข่ายจำเป็นต้องสร้างระบบปฏิบัติการใหม่ทั้งหมด (Full OS Rebuild) ในทุกโฮสต์ที่ได้รับผลกระทบจากสื่อที่ทราบว่าปลอดภัย อ่านได้อย่างเดียว (Known-good, Read-only Media) การลบไฟล์แบบเลือกหรือการรีอิมเมจเพียงบางส่วนนั้นไม่เพียงพอ
ความสำเร็จของ Velvet Ant ไม่ได้ขึ้นอยู่กับห่วงโซ่การโจมตีที่แปลกใหม่ แต่กลุ่มกลับแสดงให้เห็นถึงคู่มือปฏิบัติการที่เติบโตเต็มที่ซึ่งมุ่งเน้นไปที่ความอดทนและการอำพรางในระดับการตรวจสอบสิทธิ์
Sygnia ระบุว่าปฏิบัติการไฮแลนด์เป็นฝีมือของ Velvet Ant ด้วยความมั่นใจสูง และเชื่อมโยงกลุ่มนี้เข้ากับวัตถุประสงค์ในการจารกรรมที่ได้รับการสนับสนุนจากรัฐของจีน กลุ่มมุ่งเน้นไปที่องค์กรขนาดใหญ่ในเอเชียตะวันออก โดยเฉพาะอย่างยิ่งผู้ให้บริการโทรคมนาคมและโครงสร้างพื้นฐานที่สำคัญ
ปฏิบัติการก่อนหน้าและที่เกิดขึ้นควบคู่กันให้บริบทเพิ่มเติม ในอีกกรณีหนึ่ง Velvet Ant ได้ใช้เครื่องใช้ F5 BIG-IP รุ่นเก่าเป็นพร็อกซีสั่งการและควบคุม (C2) เป็นเวลาอย่างน้อยสามปีก่อนที่การสืบสวนของ Sygnia จะเปิดเผยกิจกรรมนี้ ยังมีการสังเกตพบว่ากลุ่มได้ติดตั้งมัลแวร์ PlugX และ ShadowPad ระหว่างการบุกรุกก่อนหน้านี้ ซึ่งบ่งบอกถึงการมีชุดเครื่องมือที่กว้างขวางซึ่งครอบคลุมทั้งความสามารถที่กำหนดเองและที่เปิดเผยต่อสาธารณะ
บทเรียนการป้องกันที่สำคัญที่สุดจากปฏิบัติการไฮแลนด์คือ การป้องกันจุดสิ้นสุดและการเปลี่ยนรหัสผ่านแบบเดิมนั้นไม่เพียงพอเมื่อระบบที่ใช้ตรวจสอบสิทธิ์นั้นไม่น่าไว้วางใจ
ผู้ดูแลระบบควรให้ความสำคัญกับการตรวจสอบความสมบูรณ์ของไฟล์ (File Integrity Monitoring) ซึ่งเปรียบเทียบแฮชของการเข้ารหัส (Cryptographic Hashes) ของไฟล์ระบบที่สำคัญ รวมถึง /lib/security/pam_unix.so และโปรแกรม SSH daemon กับค่าพื้นฐานที่ทราบว่าดี (Known-good Baselines) ไม่ใช่แค่เมตาดาตาของไฟล์ การบันทึกเหตุการณ์การตรวจสอบสิทธิ์ทั้งหมดไปยังระบบภายนอกที่แก้ไขไม่ได้และเป็นส่วนกลางก็เป็นสิ่งจำเป็น เพราะผู้บุกรุกที่มีสิทธิ์การเข้าถึงเพียงพอสามารถแก้ไขบันทึกบนโฮสต์ได้ การยืนยันตัวตนแบบหลายปัจจัย (MFA) ยังคงเป็นปราการที่มีค่า แต่ก็ไม่ได้ป้องกันโดยตรงกับบริการ PAM ที่ฝังแบ็คดอร์ซึ่งข้ามการตรวจสอบการยืนยันตัวตนไปทั้งหมด
ปฏิบัติการไฮแลนด์แสดงให้เห็นว่า การคงอยู่ที่อันตรายที่สุดนั้นไม่ได้ดูเหมือนมัลแวร์เลย มันดูเหมือนหน้าจอขอรหัสผ่านที่คุณเชื่อใจทุกวัน
Comments
0 comments