Linux Giriş Sisteminde 10 Yıl Saklanan Hayalet: Velvet Ant'in 'Operation Highland' Sızması

İsrail merkezli olay müdahale firması Sygnia, 'Operation Highland' adlı bir soruşturmanın bulgularını yayınladı. Bu bulgular, yakın dönemin en disiplinli ve uzun süreli siber casusluk kampanyalarından birini gün yüzüne çıkarıyor. Faaliyet, Sygnia'nın Velvet Ant olarak takip ettiği, Çin bağlantılı olduğu yüksek güvenilirlikle değerlendirilen bir tehdit grubuna atfediliyor . Operasyonu sıra dışı kılan şey, yeni bir sıfırıncı gün açığı değil, amansızca basit bir fikir: kimin oturum açacağına karar veren yazılımın içinde yaşamak.

On Yıllık Sızmanın Adım Adım Anatomisi

Hedef ağın doğrudan internet bağlantısı yoktu ve son derece hassas sistemleri barındırıyordu. Sygnia'nın adli bilişim zaman çizelgesi, saldırganların en azından 2016 yılına kadar uzanan bir süredir ağda bir dayanak noktası elde ettiğini gösteriyor; bu da gruba ortamın içinde on yıla yakın bir 'ikamet süresi' sağladı .

İlk giriş noktası. Sızma, büyük olasılıkla kurumun halen kullanımdan kaldırmadığı, güncelleme almamış eski bir F5 BIG-IP cihazı üzerinden başladı. Saldırganlar bu cihazın kontrolünü ele geçirdikten sonra, onu daha derinlere inmek için bir köprü olarak kullandılar ve nihayetinde hava boşluklu (air-gapped) iç ağ bölümüne ulaştılar .

Arka Kapı Nasıl Çalıştı?

Saldırganlar, dosya tarayıcılarının veya uç nokta tespit sistemlerinin er ya da geç yakalayabileceği özel bir kötü amaçlı yazılım bırakmak yerine, işletim sisteminin kendi güven mimarisini altüst etti. Grup, onlarca bilgisayarda temel Linux kimlik doğrulama bileşenlerini — özellikle pam_unix.so takılabilir kimlik doğrulama modülünü (PAM) ve birden fazla OpenSSH ikili dosyasını — trojanize edilmiş (içine zararlı kod eklenmiş) sürümleriyle sistematik olarak değiştirdi .

Bu değişiklik, tek bir implant ile iki kritik yetenek sağlıyordu:

1. Ana şifre ile bypass. Arka kapı yerleştirilmiş modüller, sabit kodlanmış gizli bir şifre içeriyordu. Bu şifre ile herhangi bir kullanıcı hesabına, normal kimlik doğrulama tamamen atlanarak erişilebiliyordu. Yani yöneticiler tüm kullanıcı kimlik bilgilerini düzenli olarak değiştirse bile, saldırganlar hâlâ ana kapıdan içeri girebiliyordu .
2. Sessiz kimlik bilgisi toplama. Her meşru oturum açma olayı gerçek zamanlı olarak yakalanıyordu. Kimlik doğrulaması yapılan her kullanıcının açık metin (şifresiz) şifreleri, /usr/share/awk/nullfile.awk konumundaki gizli bir dosyaya yazılıyordu. Bu, Velvet Ant'in ağda ekstra bir yayılma gürültüsü çıkarmadan tüm kullanıcı tabanındaki geçerli kimlik bilgilerini toplamasına olanak tanıdı .

Standart Temizlik Neden Başarısız Oldu?

Geleneksel olay müdahale kılavuzları, işletim sisteminizin oturum açma ikili dosyalarını yeniden derlemiş bir düşmana göre tasarlanmamıştır. Sygnia'nın raporu, ilk birkaç temizlik girişiminin neden başarısız olduğunu net bir şekilde açıklıyor:

• Temizlik açığı. Standart iş akışı — şüpheli dosyaları kaldır, zararlı süreçleri sonlandır, tüm şifreleri sıfırla — saldırganın birincil kalıcılık mekanizması üzerinde sıfır etkiye sahipti. Trojanize edilmiş pam_unix.so ve SSH ikili dosyaları, derlenmiş mantıkları dışında her anlamda meşru sistem dosyalarıydı .
• Üst veri maskelemesi. Saldırganlar orijinal dosya adlarını, yollarını, zaman damgalarını ve yaklaşık olarak aynı dosya boyutlarını korudu. Birçok kurumsal ortamda yaygın olan, yalnızca dosya üst verisine dayanan dosya bütünlüğü kontrolleri hiçbir anormallik görmedi .
• Şifre sıfırlamanın faydasızlığı. Sabit kodlanmış ana şifre, kimlik doğrulama modülünün içinde yaşadığı için, her kullanıcının parolasını sıfırlamak düşmanı dışarıda bırakmak için hiçbir işe yaramadı .
• Kendi kendini yeniden kurma tasarımı. Soruşturma sırasında toplanan kanıtlar, arka kapının kısmi iyileştirmeden sağ çıkmak üzere tasarlandığını gösterdi. Güvenlik ekibi birkaç bilgisayarı temizler ancak diğerlerindeki kimlik doğrulama yığınını ele geçirilmiş halde bırakırsa, grup yatay olarak tekrar hareket edebilir ve yeniden inşa edilen makineleri tekrar ele geçirebilirdi .

Sygnia'nın nihai iyileştirme adımı tavizsizdi: ağdaki etkilenen her bilgisayarın, okunabilir ve güvenli olduğu bilinen bir medyadan işletim sisteminin tamamen yeniden inşa edilmesi gerekiyordu. Seçici dosya silme veya kısmi disk görüntüsü geri yükleme yetersiz kaldı .

Operasyonel Taklit Sanatı

Velvet Ant'in başarısı, egzotik saldırı zincirlerine dayanmıyor. Bunun yerine grup, sabır ve kimlik doğrulama katmanında kamuflaj üzerine odaklanmış olgun bir operasyonel kılavuz sergiliyor.

Operasyonel Model	Gözlemlenen Davranış
Ağ kenarından ilk erişim	İnternete açık, güncellenmemiş kurumsal cihazları — özellikle F5 BIG-IP ve Cisco Nexus anahtarlarını — iç ağlara köprübaşı olarak kullanır .
Birincil implant olarak kimlik doğrulama altüst etme	Uç noktalara geleneksel uzaktan erişim truva atları (RAT) yerleştirmekten kaçınır; bunun yerine Linux filosundaki kullanıcı girişlerini doğrulayan bileşenleri değiştirir .
Yedekli kalıcılık ağı	Farklı ağ segmentlerinde birden fazla dayanak noktası bulundurur, böylece bir erişim noktasının — hatta tüm bir cihazın — kaybı operasyonu sonlandırmaz .
Sistem araçlarını kullanma	Çalıntı kimlik bilgileri ve SSH gibi standart yönetim araçlarını kullanarak yatay hareket eder, tespit araçlarının yakalaması için minimum özel kötü amaçlı yazılım imzası bırakır .
Endüstriyel ölçekte kimlik bilgisi toplama	Ağdaki her başarılı oturum açmadan açık metin şifreleri yakalar, ek bir ağ gürültüsü çıkarmadan sürekli olarak geçerli kimlikler biriktirir .
Aşırı uzun ikamet süresi	Günler veya haftalar yerine yıllar boyunca faaliyet gösterir. Bu 'yavaş ve düşük profilli' tempo, kısa kayıt tutma pencerelerinin ve rutin sistem bakımının adli kanıtları silebileceği anlamına gelir .

Atıf ve İlgili Faaliyetler

Sygnia, Operation Highland'i yüksek güvenilirlikle Velvet Ant'e atfediyor ve grubu Çin devleti destekli casusluk hedefleriyle ilişkilendiriyor . Grup, Doğu Asya'daki büyük kuruluşlara, özellikle telekomünikasyon sağlayıcılarına ve kritik altyapıya odaklanıyor .

Önceki ve paralel kampanyalar ek bağlam sağlıyor. Ayrı bir vakada, Velvet Ant, Sygnia'nın soruşturması faaliyeti ortaya çıkarana kadar en az üç yıl boyunca eski F5 BIG-IP cihazlarını komuta ve kontrol (C2) proxy'si olarak kullandı . Grup ayrıca daha önceki sızmalarda PlugX ve ShadowPad kötü amaçlı yazılımlarını kullanırken gözlemlendi; bu da hem özel hem de halka açık yetenekleri kapsayan geniş bir alet çantasına işaret ediyor .

Savunma Ekipleri Şimdi Ne Yapmalı?

Operation Highland'den çıkarılacak en önemli savunma dersi, kimlik doğrulama yığınının kendisi güvenilmez olduğunda, geleneksel uç nokta korumasının ve kimlik bilgisi rotasyonunun yeterli olmadığıdır.

Savunma ekipleri, yalnızca dosya üst verisini değil, /lib/security/pam_unix.so ve SSH sunucu ikili dosyaları dahil olmak üzere kritik sistem ikili dosyalarının kriptografik karmalarını, güvenli ve bilinen temel durumlarla karşılaştıran dosya bütünlüğü izlemeye öncelik vermelidir. Tüm kimlik doğrulama olaylarını merkezi, değiştirilemez ve harici bir sisteme kaydetmek de çok önemlidir, çünkü yeterli erişime sahip bir saldırgan ana bilgisayar üzerindeki kayıtları değiştirebilir. Çok faktörlü kimlik doğrulama (MFA) değerli bir bariyer olmaya devam etmektedir, ancak kimlik doğrulama kontrollerini tamamen atlayan bir arka kapılı PAM servisine karşı doğrudan koruma sağlamaz.

Operation Highland, en tehlikeli kalıcılığın bir kötü amaçlı yazılım gibi görünmediğini gösteriyor; her gün güvendiğiniz oturum açma istemi gibi görünüyor.