İlk giriş noktası. Sızma, büyük olasılıkla kurumun halen kullanımdan kaldırmadığı, güncelleme almamış eski bir F5 BIG-IP cihazı üzerinden başladı. Saldırganlar bu cihazın kontrolünü ele geçirdikten sonra, onu daha derinlere inmek için bir köprü olarak kullandılar ve nihayetinde hava boşluklu (air-gapped) iç ağ bölümüne ulaştılar .

Arka Kapı Nasıl Çalıştı?

Saldırganlar, dosya tarayıcılarının veya uç nokta tespit sistemlerinin er ya da geç yakalayabileceği özel bir kötü amaçlı yazılım bırakmak yerine, işletim sisteminin kendi güven mimarisini altüst etti. Grup, onlarca bilgisayarda temel Linux kimlik doğrulama bileşenlerini — özellikle pam_unix.so takılabilir kimlik doğrulama modülünü (PAM) ve birden fazla OpenSSH ikili dosyasını — trojanize edilmiş (içine zararlı kod eklenmiş) sürümleriyle sistematik olarak değiştirdi .

Bu değişiklik, tek bir implant ile iki kritik yetenek sağlıyordu:

1. Ana şifre ile bypass. Arka kapı yerleştirilmiş modüller, sabit kodlanmış gizli bir şifre içeriyordu. Bu şifre ile herhangi bir kullanıcı hesabına, normal kimlik doğrulama tamamen atlanarak erişilebiliyordu. Yani yöneticiler tüm kullanıcı kimlik bilgilerini düzenli olarak değiştirse bile, saldırganlar hâlâ ana kapıdan içeri girebiliyordu .
2. Sessiz kimlik bilgisi toplama. Her meşru oturum açma olayı gerçek zamanlı olarak yakalanıyordu. Kimlik doğrulaması yapılan her kullanıcının açık metin (şifresiz) şifreleri, /usr/share/awk/nullfile.awk konumundaki gizli bir dosyaya yazılıyordu. Bu, Velvet Ant'in ağda ekstra bir yayılma gürültüsü çıkarmadan tüm kullanıcı tabanındaki geçerli kimlik bilgilerini toplamasına olanak tanıdı .

Standart Temizlik Neden Başarısız Oldu?

Geleneksel olay müdahale kılavuzları, işletim sisteminizin oturum açma ikili dosyalarını yeniden derlemiş bir düşmana göre tasarlanmamıştır. Sygnia'nın raporu, ilk birkaç temizlik girişiminin neden başarısız olduğunu net bir şekilde açıklıyor:

• Temizlik açığı. Standart iş akışı — şüpheli dosyaları kaldır, zararlı süreçleri sonlandır, tüm şifreleri sıfırla — saldırganın birincil kalıcılık mekanizması üzerinde sıfır etkiye sahipti. Trojanize edilmiş pam_unix.so ve SSH ikili dosyaları, derlenmiş mantıkları dışında her anlamda meşru sistem dosyalarıydı .
• Üst veri maskelemesi. Saldırganlar orijinal dosya adlarını, yollarını, zaman damgalarını ve yaklaşık olarak aynı dosya boyutlarını korudu. Birçok kurumsal ortamda yaygın olan, yalnızca dosya üst verisine dayanan dosya bütünlüğü kontrolleri hiçbir anormallik görmedi .
• Şifre sıfırlamanın faydasızlığı. Sabit kodlanmış ana şifre, kimlik doğrulama modülünün içinde yaşadığı için, her kullanıcının parolasını sıfırlamak düşmanı dışarıda bırakmak için hiçbir işe yaramadı .
• Kendi kendini yeniden kurma tasarımı. Soruşturma sırasında toplanan kanıtlar, arka kapının kısmi iyileştirmeden sağ çıkmak üzere tasarlandığını gösterdi. Güvenlik ekibi birkaç bilgisayarı temizler ancak diğerlerindeki kimlik doğrulama yığınını ele geçirilmiş halde bırakırsa, grup yatay olarak tekrar hareket edebilir ve yeniden inşa edilen makineleri tekrar ele geçirebilirdi .

Sygnia'nın nihai iyileştirme adımı tavizsizdi: ağdaki etkilenen her bilgisayarın, okunabilir ve güvenli olduğu bilinen bir medyadan işletim sisteminin tamamen yeniden inşa edilmesi gerekiyordu. Seçici dosya silme veya kısmi disk görüntüsü geri yükleme yetersiz kaldı .

Operasyonel Taklit Sanatı

Velvet Ant'in başarısı, egzotik saldırı zincirlerine dayanmıyor. Bunun yerine grup, sabır ve kimlik doğrulama katmanında kamuflaj üzerine odaklanmış olgun bir operasyonel kılavuz sergiliyor.

Atıf ve İlgili Faaliyetler

Sygnia, Operation Highland'i yüksek güvenilirlikle Velvet Ant'e atfediyor ve grubu Çin devleti destekli casusluk hedefleriyle ilişkilendiriyor . Grup, Doğu Asya'daki büyük kuruluşlara, özellikle telekomünikasyon sağlayıcılarına ve kritik altyapıya odaklanıyor .

Önceki ve paralel kampanyalar ek bağlam sağlıyor. Ayrı bir vakada, Velvet Ant, Sygnia'nın soruşturması faaliyeti ortaya çıkarana kadar en az üç yıl boyunca eski F5 BIG-IP cihazlarını komuta ve kontrol (C2) proxy'si olarak kullandı . Grup ayrıca daha önceki sızmalarda PlugX ve ShadowPad kötü amaçlı yazılımlarını kullanırken gözlemlendi; bu da hem özel hem de halka açık yetenekleri kapsayan geniş bir alet çantasına işaret ediyor .

Savunma Ekipleri Şimdi Ne Yapmalı?

Operation Highland'den çıkarılacak en önemli savunma dersi, kimlik doğrulama yığınının kendisi güvenilmez olduğunda, geleneksel uç nokta korumasının ve kimlik bilgisi rotasyonunun yeterli olmadığıdır.

Savunma ekipleri, yalnızca dosya üst verisini değil, /lib/security/pam_unix.so ve SSH sunucu ikili dosyaları dahil olmak üzere kritik sistem ikili dosyalarının kriptografik karmalarını, güvenli ve bilinen temel durumlarla karşılaştıran dosya bütünlüğü izlemeye öncelik vermelidir. Tüm kimlik doğrulama olaylarını merkezi, değiştirilemez ve harici bir sisteme kaydetmek de çok önemlidir, çünkü yeterli erişime sahip bir saldırgan ana bilgisayar üzerindeki kayıtları değiştirebilir. Çok faktörlü kimlik doğrulama (MFA) değerli bir bariyer olmaya devam etmektedir, ancak kimlik doğrulama kontrollerini tamamen atlayan bir arka kapılı PAM servisine karşı doğrudan koruma sağlamaz.

Operation Highland, en tehlikeli kalıcılığın bir kötü amaçlı yazılım gibi görünmediğini gösteriyor; her gün güvendiğiniz oturum açma istemi gibi görünüyor.

İlk giriş noktası. Sızma, büyük olasılıkla kurumun halen kullanımdan kaldırmadığı, güncelleme almamış eski bir F5 BIG-IP cihazı üzerinden başladı. Saldırganlar bu cihazın kontrolünü ele geçirdikten sonra, onu daha derinlere inmek için bir köprü olarak kullandılar ve nihayetinde hava boşluklu (air-gapped) iç ağ bölümüne ulaştılar .

Arka Kapı Nasıl Çalıştı?

Saldırganlar, dosya tarayıcılarının veya uç nokta tespit sistemlerinin er ya da geç yakalayabileceği özel bir kötü amaçlı yazılım bırakmak yerine, işletim sisteminin kendi güven mimarisini altüst etti. Grup, onlarca bilgisayarda temel Linux kimlik doğrulama bileşenlerini — özellikle pam_unix.so takılabilir kimlik doğrulama modülünü (PAM) ve birden fazla OpenSSH ikili dosyasını — trojanize edilmiş (içine zararlı kod eklenmiş) sürümleriyle sistematik olarak değiştirdi .

Bu değişiklik, tek bir implant ile iki kritik yetenek sağlıyordu:

1. Ana şifre ile bypass. Arka kapı yerleştirilmiş modüller, sabit kodlanmış gizli bir şifre içeriyordu. Bu şifre ile herhangi bir kullanıcı hesabına, normal kimlik doğrulama tamamen atlanarak erişilebiliyordu. Yani yöneticiler tüm kullanıcı kimlik bilgilerini düzenli olarak değiştirse bile, saldırganlar hâlâ ana kapıdan içeri girebiliyordu .
2. Sessiz kimlik bilgisi toplama. Her meşru oturum açma olayı gerçek zamanlı olarak yakalanıyordu. Kimlik doğrulaması yapılan her kullanıcının açık metin (şifresiz) şifreleri, /usr/share/awk/nullfile.awk konumundaki gizli bir dosyaya yazılıyordu. Bu, Velvet Ant'in ağda ekstra bir yayılma gürültüsü çıkarmadan tüm kullanıcı tabanındaki geçerli kimlik bilgilerini toplamasına olanak tanıdı .

Standart Temizlik Neden Başarısız Oldu?

Geleneksel olay müdahale kılavuzları, işletim sisteminizin oturum açma ikili dosyalarını yeniden derlemiş bir düşmana göre tasarlanmamıştır. Sygnia'nın raporu, ilk birkaç temizlik girişiminin neden başarısız olduğunu net bir şekilde açıklıyor:

• Temizlik açığı. Standart iş akışı — şüpheli dosyaları kaldır, zararlı süreçleri sonlandır, tüm şifreleri sıfırla — saldırganın birincil kalıcılık mekanizması üzerinde sıfır etkiye sahipti. Trojanize edilmiş pam_unix.so ve SSH ikili dosyaları, derlenmiş mantıkları dışında her anlamda meşru sistem dosyalarıydı .
• Üst veri maskelemesi. Saldırganlar orijinal dosya adlarını, yollarını, zaman damgalarını ve yaklaşık olarak aynı dosya boyutlarını korudu. Birçok kurumsal ortamda yaygın olan, yalnızca dosya üst verisine dayanan dosya bütünlüğü kontrolleri hiçbir anormallik görmedi .
• Şifre sıfırlamanın faydasızlığı. Sabit kodlanmış ana şifre, kimlik doğrulama modülünün içinde yaşadığı için, her kullanıcının parolasını sıfırlamak düşmanı dışarıda bırakmak için hiçbir işe yaramadı .
• Kendi kendini yeniden kurma tasarımı. Soruşturma sırasında toplanan kanıtlar, arka kapının kısmi iyileştirmeden sağ çıkmak üzere tasarlandığını gösterdi. Güvenlik ekibi birkaç bilgisayarı temizler ancak diğerlerindeki kimlik doğrulama yığınını ele geçirilmiş halde bırakırsa, grup yatay olarak tekrar hareket edebilir ve yeniden inşa edilen makineleri tekrar ele geçirebilirdi .

Sygnia'nın nihai iyileştirme adımı tavizsizdi: ağdaki etkilenen her bilgisayarın, okunabilir ve güvenli olduğu bilinen bir medyadan işletim sisteminin tamamen yeniden inşa edilmesi gerekiyordu. Seçici dosya silme veya kısmi disk görüntüsü geri yükleme yetersiz kaldı .

Operasyonel Taklit Sanatı

Velvet Ant'in başarısı, egzotik saldırı zincirlerine dayanmıyor. Bunun yerine grup, sabır ve kimlik doğrulama katmanında kamuflaj üzerine odaklanmış olgun bir operasyonel kılavuz sergiliyor.

Atıf ve İlgili Faaliyetler

Sygnia, Operation Highland'i yüksek güvenilirlikle Velvet Ant'e atfediyor ve grubu Çin devleti destekli casusluk hedefleriyle ilişkilendiriyor . Grup, Doğu Asya'daki büyük kuruluşlara, özellikle telekomünikasyon sağlayıcılarına ve kritik altyapıya odaklanıyor .

Önceki ve paralel kampanyalar ek bağlam sağlıyor. Ayrı bir vakada, Velvet Ant, Sygnia'nın soruşturması faaliyeti ortaya çıkarana kadar en az üç yıl boyunca eski F5 BIG-IP cihazlarını komuta ve kontrol (C2) proxy'si olarak kullandı . Grup ayrıca daha önceki sızmalarda PlugX ve ShadowPad kötü amaçlı yazılımlarını kullanırken gözlemlendi; bu da hem özel hem de halka açık yetenekleri kapsayan geniş bir alet çantasına işaret ediyor .

Savunma Ekipleri Şimdi Ne Yapmalı?

Operation Highland'den çıkarılacak en önemli savunma dersi, kimlik doğrulama yığınının kendisi güvenilmez olduğunda, geleneksel uç nokta korumasının ve kimlik bilgisi rotasyonunun yeterli olmadığıdır.

Savunma ekipleri, yalnızca dosya üst verisini değil, /lib/security/pam_unix.so ve SSH sunucu ikili dosyaları dahil olmak üzere kritik sistem ikili dosyalarının kriptografik karmalarını, güvenli ve bilinen temel durumlarla karşılaştıran dosya bütünlüğü izlemeye öncelik vermelidir. Tüm kimlik doğrulama olaylarını merkezi, değiştirilemez ve harici bir sisteme kaydetmek de çok önemlidir, çünkü yeterli erişime sahip bir saldırgan ana bilgisayar üzerindeki kayıtları değiştirebilir. Çok faktörlü kimlik doğrulama (MFA) değerli bir bariyer olmaya devam etmektedir, ancak kimlik doğrulama kontrollerini tamamen atlayan bir arka kapılı PAM servisine karşı doğrudan koruma sağlamaz.

Operation Highland, en tehlikeli kalıcılığın bir kötü amaçlı yazılım gibi görünmediğini gösteriyor; her gün güvendiğiniz oturum açma istemi gibi görünüyor.