Операція Highland: Як Velvet Ant десятиліття ховався в системі входу Linux
Розслідування Sygnia «Operation Highland» виявило, що китайське угруповання Velvet Ant ховалося у чутливій ізольованій мережі майже десять років, замінивши модулі Linux pam unix.so та бінарні файли OpenSSH на троянізо... Стандартні заходи реагування — видалення файлів, завершення процесів, зміна паролів — виявилися...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-ProЗображення створено за допомогою GPT Image 1.5
Розслідування Sygnia «Operation Highland» виявило, що китайське угруповання Velvet Ant ховалося у чутливій ізольованій мережі майже десять років, замінивши модулі Linux pam unix.so та бінарні файли OpenSSH на троянізо...
Стандартні заходи реагування — видалення файлів, завершення процесів, зміна паролів — виявилися повністю неефективними, оскільки троянізовані бінарні файли автентифікації виглядали ідентично легітимним, а вшитий парол...
Тактика угруповання відзначається не технічною новизною, а операційним терпінням та підривом рівня автентифікації.
What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and mVelvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com
Ізраїльська компанія з реагування на інциденти Sygnia опублікувала результати розслідування під назвою Operation Highland, яке викриває одну з найдисциплінованіших і найтриваліших кампаній кібершпигунства в новітній історії. Цю активність із високою впевненістю приписують китайському угрупованню, яке Sygnia відстежує як Velvet Ant. Операцію визначає не якась нова вразливість нульового дня, а невблаганно проста ідея: оселитися всередині самого програмного забезпечення, яке вирішує, кому дозволено ввійти в систему.
Десятирічне вторгнення: крок за кроком
Мережа жертви не мала прямого з'єднання з Інтернетом і містила надзвичайно чутливі системи. Судово-медична хронологія Sygnia вказує на те, що зловмисники закріпилися в ній щонайменше з 2016 року, що дало угрупованню майже всередині середовища .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Операція Highland: Як Velvet Ant десятиліття ховався в системі входу Linux"?
Розслідування Sygnia «Operation Highland» виявило, що китайське угруповання Velvet Ant ховалося у чутливій ізольованій мережі майже десять років, замінивши модулі Linux pam unix.so та бінарні файли OpenSSH на троянізо...
What are the key points to validate first?
Розслідування Sygnia «Operation Highland» виявило, що китайське угруповання Velvet Ant ховалося у чутливій ізольованій мережі майже десять років, замінивши модулі Linux pam unix.so та бінарні файли OpenSSH на троянізо... Стандартні заходи реагування — видалення файлів, завершення процесів, зміна паролів — виявилися повністю неефективними, оскільки троянізовані бінарні файли автентифікації виглядали ідентично легітимним, а вшитий парол...
What should I do next in practice?
Тактика угруповання відзначається не технічною новизною, а операційним терпінням та підривом рівня автентифікації.
Операція Highland: Як Velvet Ant десятиліття ховався в системі входу Linux
Розслідування Sygnia «Operation Highland» виявило, що китайське угруповання Velvet Ant ховалося у чутливій ізольованій мережі майже десять років, замінивши модулі Linux pam unix.so та бінарні файли OpenSSH на троянізо... Стандартні заходи реагування — видалення файлів, завершення процесів, зміна паролів — виявилися...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-ProЗображення створено за допомогою GPT Image 1.5
Розслідування Sygnia «Operation Highland» виявило, що китайське угруповання Velvet Ant ховалося у чутливій ізольованій мережі майже десять років, замінивши модулі Linux pam unix.so та бінарні файли OpenSSH на троянізо...
Стандартні заходи реагування — видалення файлів, завершення процесів, зміна паролів — виявилися повністю неефективними, оскільки троянізовані бінарні файли автентифікації виглядали ідентично легітимним, а вшитий парол...
Тактика угруповання відзначається не технічною новизною, а операційним терпінням та підривом рівня автентифікації.
What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and mVelvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com
Ізраїльська компанія з реагування на інциденти Sygnia опублікувала результати розслідування під назвою Operation Highland, яке викриває одну з найдисциплінованіших і найтриваліших кампаній кібершпигунства в новітній історії. Цю активність із високою впевненістю приписують китайському угрупованню, яке Sygnia відстежує як Velvet Ant. Операцію визначає не якась нова вразливість нульового дня, а невблаганно проста ідея: оселитися всередині самого програмного забезпечення, яке вирішує, кому дозволено ввійти в систему.
Десятирічне вторгнення: крок за кроком
Мережа жертви не мала прямого з'єднання з Інтернетом і містила надзвичайно чутливі системи. Судово-медична хронологія Sygnia вказує на те, що зловмисники закріпилися в ній щонайменше з 2016 року, що дало угрупованню майже всередині середовища .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Операція Highland: Як Velvet Ant десятиліття ховався в системі входу Linux"?
Розслідування Sygnia «Operation Highland» виявило, що китайське угруповання Velvet Ant ховалося у чутливій ізольованій мережі майже десять років, замінивши модулі Linux pam unix.so та бінарні файли OpenSSH на троянізо...
What are the key points to validate first?
Розслідування Sygnia «Operation Highland» виявило, що китайське угруповання Velvet Ant ховалося у чутливій ізольованій мережі майже десять років, замінивши модулі Linux pam unix.so та бінарні файли OpenSSH на троянізо... Стандартні заходи реагування — видалення файлів, завершення процесів, зміна паролів — виявилися повністю неефективними, оскільки троянізовані бінарні файли автентифікації виглядали ідентично легітимним, а вшитий парол...
What should I do next in practice?
Тактика угруповання відзначається не технічною новизною, а операційним терпінням та підривом рівня автентифікації.
Початкова точка входу. Злам, ймовірно, розпочався через звернений до Інтернету застарілий та неоновлений пристрій F5 BIG-IP (багатофункціональний мережевий пристрій для балансування навантаження та безпеки додатків), від якого організація вчасно не відмовилася. Отримавши контроль над цим пристроєм, зловмисники використали його як плацдарм для проникнення глибше в мережу, зрештою досягнувши ізольованого внутрішнього сегмента .
Як працював бекдор
Замість того, щоб встановлювати спеціальне шкідливе ПЗ, яке могли б з часом виявити файлові сканери або системи виявлення кінцевих точок (EDR), Velvet Ant підірвав саму архітектуру довіри операційної системи. На десятках хостів угруповання систематично замінювало основні компоненти автентифікації Linux — зокрема, модуль pam_unix.so (плагін системи PAM, що відповідає за стандартну парольну автентифікацію) та кілька бінарних файлів OpenSSH — на троянізовані версії .
Ця підміна забезпечувала дві можливості з одного імпланта:
Обхід з майстер-паролем. Зламані модулі містили жорстко закодований секретний пароль. З його допомогою можна було отримати доступ до будь-якого облікового запису користувача, повністю обходячи звичайну автентифікацію. Навіть якщо адміністратори змінювали всі облікові дані, зловмисники все одно могли «зайти через парадний вхід» .
Непомітне збирання облікових даних. Кожна легітимна подія входу перехоплювалася в реальному часі. Паролі у відкритому тексті для кожного користувача, який проходив автентифікацію, записувалися у прихований файл за шляхом /usr/share/awk/nullfile.awk. Це дозволяло Velvet Ant збирати дійсні облікові дані по всій базі користувачів без зайвого шуму від бічного переміщення .
Чому стандартне очищення не спрацювало
Традиційні протоколи реагування на інциденти не розраховані на противника, який перекомпілював системні бінарні файли входу у вашій ОС. Звіт Sygnia чітко пояснює, чому перші кілька спроб очищення були невдалими:
Прогалина в очищенні. Стандартний алгоритм дій — видалити підозрілі файли, зупинити шкідливі процеси, змінити всі паролі — не мав жодного впливу на основний механізм закріплення зловмисників. Троянізовані бінарні файли pam_unix.so та SSH були легітимними системними файлами в усьому, крім їхньої скомпільованої логіки .
Маскування метаданих. Атакувальники зберегли оригінальні імена файлів, шляхи, часові мітки та приблизно однаковий розмір. Будь-яка перевірка цілісності, що покладається лише на метадані файлів (що є звичною практикою в багатьох корпоративних середовищах), не виявляла жодних проблем .
Марність зміни паролів. Оскільки жорстко закодований майстер-пароль знаходився всередині самого модуля автентифікації, скидання облікових даних кожного користувача не заважало зловмисникам .
Самовідновлювальна конструкція. Докази, зібрані під час розслідування, свідчать, що бекдор був спроектований для виживання після часткового очищення. Якщо команда безпеки очищала кілька хостів, але залишала стек автентифікації скомпрометованим на інших, угруповання могло знову переміститися бічно і повторно заразити відбудовані машини .
Остаточний крок Sygnia з усунення наслідків був однозначним: мережа потребувала повної перебудови операційної системи кожного ураженого хоста з відомо-чистого носія. Видалення окремих файлів або часткове перевстановлення було недостатнім .
Характерні риси тактики
Успіх Velvet Ant не залежить від екзотичних ланцюжків атак. Натомість угруповання демонструє продуманий оперативний план, зосереджений на терпінні та камуфляжі на рівні автентифікації.
Оперативний шаблон
Спостережувана поведінка
Початковий доступ через периферію мережі
Використовує неоновлені корпоративні пристрої — зокрема F5 BIG-IP та комутатори Cisco Nexus — виставлені в Інтернет, як плацдарми для входу у внутрішні мережі .
Підрив автентифікації як основний імплант
Уникає розгортання звичайних троянів віддаленого доступу (RAT) на кінцевих точках, натомість замінює компоненти, які перевіряють логіни користувачів по всьому парку Linux-машин .
Надлишкова мережа закріплення
Утримує численні точки опори в різних сегментах мережі так, що втрата однієї точки доступу — або навіть цілого пристрою — не припиняє операцію .
Використання легітимних інструментів (Living-off-the-land)
Переміщується бічно, використовуючи викрадені облікові дані та стандартні адміністративні інструменти, такі як SSH, залишаючи мінімум сигнатур для виявлення .
Збір облікових даних у промислових масштабах
Перехоплює паролі у відкритому тексті при кожному успішному вході в мережу, неухильно накопичуючи дійсні ідентичності без зайвого мережевого шуму .
Надзвичайна тривалість перебування
Працює роками, а не днями чи тижнями. Цей повільний темп означає, що короткі вікна зберігання журналів і планове технічне обслуговування системи можуть знищити криміналістичні докази .
Атрибуція та пов'язана активність
Sygnia з високою впевненістю приписує операцію Highland угрупованню Velvet Ant та пов'язує її з цілями китайського державного шпигунства . Угруповання зосереджується на великих організаціях у Східній Азії, зокрема на телекомунікаційних провайдерах та об'єктах критичної інфраструктури .
Попередні та паралельні кампанії надають додатковий контекст. В окремому випадку Velvet Ant використовував застарілі пристрої F5 BIG-IP як проксі для командно-контрольних серверів (C2) щонайменше три роки, перш ніж розслідування Sygnia виявило цю активність . Також було помічено, що під час попередніх вторгнень угруповання використовувало шкідливе ПЗ PlugX та ShadowPad, що свідчить про широкий арсенал, який охоплює як власні, так і загальнодоступні інструменти .
Що робити захисникам вже зараз
Найважливіший урок безпеки з Operation Highland полягає в тому, що традиційного захисту кінцевих точок і зміни облікових даних недостатньо, коли сам стек автентифікації є ненадійним.
Захисники повинні надавати пріоритет моніторингу цілісності файлів (FIM), який порівнює криптографічні хеші критичних системних бінарних файлів — включно з /lib/security/pam_unix.so та бінарними файлами демона SSH — з відомими чистими еталонами, а не лише перевіряти метадані. Також важливо централізовано збирати всі події автентифікації в незмінну зовнішню систему, оскільки атакувальник із достатнім рівнем доступу може підробити журнали на хості. Багатофакторна автентифікація (MFA) залишається цінним бар'єром, але вона не захищає безпосередньо від бекдору в сервісі PAM, який повністю обходить перевірку автентифікації.
Operation Highland демонструє, що найнебезпечніша форма закріплення в системі взагалі не схожа на шкідливе ПЗ — вона виглядає як вікно входу, якому ви довіряєте щодня.
imda.gov.sgBackdoor exploit against telecom systems
Початкова точка входу. Злам, ймовірно, розпочався через звернений до Інтернету застарілий та неоновлений пристрій F5 BIG-IP (багатофункціональний мережевий пристрій для балансування навантаження та безпеки додатків), від якого організація вчасно не відмовилася. Отримавши контроль над цим пристроєм, зловмисники використали його як плацдарм для проникнення глибше в мережу, зрештою досягнувши ізольованого внутрішнього сегмента .
Як працював бекдор
Замість того, щоб встановлювати спеціальне шкідливе ПЗ, яке могли б з часом виявити файлові сканери або системи виявлення кінцевих точок (EDR), Velvet Ant підірвав саму архітектуру довіри операційної системи. На десятках хостів угруповання систематично замінювало основні компоненти автентифікації Linux — зокрема, модуль pam_unix.so (плагін системи PAM, що відповідає за стандартну парольну автентифікацію) та кілька бінарних файлів OpenSSH — на троянізовані версії .
Ця підміна забезпечувала дві можливості з одного імпланта:
Обхід з майстер-паролем. Зламані модулі містили жорстко закодований секретний пароль. З його допомогою можна було отримати доступ до будь-якого облікового запису користувача, повністю обходячи звичайну автентифікацію. Навіть якщо адміністратори змінювали всі облікові дані, зловмисники все одно могли «зайти через парадний вхід» .
Непомітне збирання облікових даних. Кожна легітимна подія входу перехоплювалася в реальному часі. Паролі у відкритому тексті для кожного користувача, який проходив автентифікацію, записувалися у прихований файл за шляхом /usr/share/awk/nullfile.awk. Це дозволяло Velvet Ant збирати дійсні облікові дані по всій базі користувачів без зайвого шуму від бічного переміщення .
Чому стандартне очищення не спрацювало
Традиційні протоколи реагування на інциденти не розраховані на противника, який перекомпілював системні бінарні файли входу у вашій ОС. Звіт Sygnia чітко пояснює, чому перші кілька спроб очищення були невдалими:
Прогалина в очищенні. Стандартний алгоритм дій — видалити підозрілі файли, зупинити шкідливі процеси, змінити всі паролі — не мав жодного впливу на основний механізм закріплення зловмисників. Троянізовані бінарні файли pam_unix.so та SSH були легітимними системними файлами в усьому, крім їхньої скомпільованої логіки .
Маскування метаданих. Атакувальники зберегли оригінальні імена файлів, шляхи, часові мітки та приблизно однаковий розмір. Будь-яка перевірка цілісності, що покладається лише на метадані файлів (що є звичною практикою в багатьох корпоративних середовищах), не виявляла жодних проблем .
Марність зміни паролів. Оскільки жорстко закодований майстер-пароль знаходився всередині самого модуля автентифікації, скидання облікових даних кожного користувача не заважало зловмисникам .
Самовідновлювальна конструкція. Докази, зібрані під час розслідування, свідчать, що бекдор був спроектований для виживання після часткового очищення. Якщо команда безпеки очищала кілька хостів, але залишала стек автентифікації скомпрометованим на інших, угруповання могло знову переміститися бічно і повторно заразити відбудовані машини .
Остаточний крок Sygnia з усунення наслідків був однозначним: мережа потребувала повної перебудови операційної системи кожного ураженого хоста з відомо-чистого носія. Видалення окремих файлів або часткове перевстановлення було недостатнім .
Характерні риси тактики
Успіх Velvet Ant не залежить від екзотичних ланцюжків атак. Натомість угруповання демонструє продуманий оперативний план, зосереджений на терпінні та камуфляжі на рівні автентифікації.
Оперативний шаблон
Спостережувана поведінка
Початковий доступ через периферію мережі
Використовує неоновлені корпоративні пристрої — зокрема F5 BIG-IP та комутатори Cisco Nexus — виставлені в Інтернет, як плацдарми для входу у внутрішні мережі .
Підрив автентифікації як основний імплант
Уникає розгортання звичайних троянів віддаленого доступу (RAT) на кінцевих точках, натомість замінює компоненти, які перевіряють логіни користувачів по всьому парку Linux-машин .
Надлишкова мережа закріплення
Утримує численні точки опори в різних сегментах мережі так, що втрата однієї точки доступу — або навіть цілого пристрою — не припиняє операцію .
Використання легітимних інструментів (Living-off-the-land)
Переміщується бічно, використовуючи викрадені облікові дані та стандартні адміністративні інструменти, такі як SSH, залишаючи мінімум сигнатур для виявлення .
Збір облікових даних у промислових масштабах
Перехоплює паролі у відкритому тексті при кожному успішному вході в мережу, неухильно накопичуючи дійсні ідентичності без зайвого мережевого шуму .
Надзвичайна тривалість перебування
Працює роками, а не днями чи тижнями. Цей повільний темп означає, що короткі вікна зберігання журналів і планове технічне обслуговування системи можуть знищити криміналістичні докази .
Атрибуція та пов'язана активність
Sygnia з високою впевненістю приписує операцію Highland угрупованню Velvet Ant та пов'язує її з цілями китайського державного шпигунства . Угруповання зосереджується на великих організаціях у Східній Азії, зокрема на телекомунікаційних провайдерах та об'єктах критичної інфраструктури .
Попередні та паралельні кампанії надають додатковий контекст. В окремому випадку Velvet Ant використовував застарілі пристрої F5 BIG-IP як проксі для командно-контрольних серверів (C2) щонайменше три роки, перш ніж розслідування Sygnia виявило цю активність . Також було помічено, що під час попередніх вторгнень угруповання використовувало шкідливе ПЗ PlugX та ShadowPad, що свідчить про широкий арсенал, який охоплює як власні, так і загальнодоступні інструменти .
Що робити захисникам вже зараз
Найважливіший урок безпеки з Operation Highland полягає в тому, що традиційного захисту кінцевих точок і зміни облікових даних недостатньо, коли сам стек автентифікації є ненадійним.
Захисники повинні надавати пріоритет моніторингу цілісності файлів (FIM), який порівнює криптографічні хеші критичних системних бінарних файлів — включно з /lib/security/pam_unix.so та бінарними файлами демона SSH — з відомими чистими еталонами, а не лише перевіряти метадані. Також важливо централізовано збирати всі події автентифікації в незмінну зовнішню систему, оскільки атакувальник із достатнім рівнем доступу може підробити журнали на хості. Багатофакторна автентифікація (MFA) залишається цінним бар'єром, але вона не захищає безпосередньо від бекдору в сервісі PAM, який повністю обходить перевірку автентифікації.
Operation Highland демонструє, що найнебезпечніша форма закріплення в системі взагалі не схожа на шкідливе ПЗ — вона виглядає як вікно входу, якому ви довіряєте щодня.
imda.gov.sgBackdoor exploit against telecom systems
