維爾維特蟻（Velvet Ant）十年潛伏揭秘：點解重置密碼都趕唔走黑客？

以色列資安事件應變公司Sygnia啱啱公布咗一份叫「高原行動」嘅調查報告，揭露咗近年其中一單最精密、部署時間最長嘅網絡間諜活動 。呢單嘢同一個Sygnia追蹤緊、代號叫「Velvet Ant」、有中國背景嘅黑客組織有好大關連。成個行動嘅核心，唔係用咩驚天動地嘅零日漏洞，而係一個簡單到不得了嘅概念：直接住喺決定邊個可以登入嘅軟件入面 。

一場橫跨十年嘅入侵，逐格睇

受害者網絡冇直接連接互聯網，而且存放咗高度敏感嘅系統。Sygnia嘅鑑證時間線顯示，攻擊者最早喺2016年就已經攞到初步訪問權限，意味住佢哋喺目標網絡入面嘅潛伏時間長達差唔多十年 。

初始入侵點：入侵好大機會係由一部對外開放、未修補漏洞嘅舊款F5 BIG-IP裝置開始。呢部裝置本來早應該退役，但組織冇咁做。攻擊者一控制咗呢部裝置，就用佢做跳板，逐步滲透到更深層嘅內部網絡，最後甚至摸到入去完全冇連接互聯網嘅氣隙網絡區段 。

後門程式點樣運作

Velvet Ant冇投放嗰啲檔案掃描器同端點偵測會發現到嘅客製惡意軟件，而係選擇去顛覆作業系統自己嘅信任架構 。喺幾十部主機上面，佢哋有系統咁將Linux核心嘅驗證組件，換咗做木馬化版本。具體嚟講，就係 pam_unix.so 可插拔驗證模組同埋幾個OpenSSH執行檔 。

就係呢個簡單嘅替換動作，一個植入物就提供咗兩個功能：

1. 萬能密碼繞過驗證：木馬化嘅模組入面，寫死咗一個秘密嘅「萬能密碼」。任何人，只要用呢個密碼，就可以登入任何帳戶，完全繞過晒正常嘅身份驗證流程。就算管理員將全部用戶嘅密碼都改晒，攻擊者一樣可以大搖大擺咁行正門入嚟 。
2. 無聲無息竊取憑證：每一個合法嘅登入活動，都會俾人喺背後實時記錄低。所有驗證用戶嘅明碼密碼，都會俾人偷偷寫入一個叫 /usr/share/awk/nullfile.awk 嘅隱蔽檔案入面。咁樣，Velvet Ant就可以唔使做額外嘅橫向移動動作（呢啲動作會產生網絡噪音），就收集晒全公司上下所有用戶嘅有效憑證 。

點解標準清理步驟完全冇用

傳統嘅資安事故應變手冊，係設計嚟對付嗰啲會「安裝惡意軟件」嘅敵人，而唔係對付嗰啲將你成個作業系統嘅登入程式重新編譯嘅敵人。Sygnia份報告解釋得好清楚，點解頭幾次嘅清理嘗試全部都失敗：

• 清理盲點：標準流程——移除可疑檔案、終止惡意程序、全部密碼重設——對攻擊者最主要嗰個持續控制機制，係完全冇影響嘅。因為被木馬化嘅pam_unix.so同SSH執行檔，除咗編譯邏輯唔同之外，佢哋表面上同真正嘅系統檔案係冇分別嘅 。
• 元數據偽裝：攻擊者保留咗同原本一模一樣嘅檔名、路徑、時間戳，檔案大細都差唔多。好多企業環境常見嗰種淨係靠檢查檔案元數據嚟判斷檔案完整性嘅系統，見到呢啲檔案，係唔會覺得有任何問題 。
• 密碼重設無效：因為嗰個萬能密碼係寫死咗喺驗證模組入面，所以就算你將全世界用戶嘅密碼都重設晒，都冇辦法將攻擊者鎖喺出邊 。
• 自我修復設計：調查收集到嘅證據顯示，呢個後門程式係設計到頂得住局部修復嘅。就算保安團隊清乾淨咗幾部主機，但只要內部網仲有其他主機嘅驗證組件未清理乾淨，攻擊者就可以用呢啲倖存嘅據點再次做橫向移動，重新感染嗰啲啱啱重建好嘅機器 。

Sygnia最後一步嘅補救措施講得好清楚：個網絡需要由已知係乾淨嘅唯讀媒體上面，重建每一部受影響主機嘅成個作業系統。選擇性嘅檔案刪除，或者局部重新映像，都係唔夠徹底嘅 。

攻擊戰術模式

Velvet Ant之所以成功，唔係靠啲咩新奇嘅攻擊鏈，而係展示出一套好成熟嘅行動手冊，重點放喺耐性同埋驗證層偽裝上面 。

行動模式	觀察到嘅行為
網絡邊界初始入侵	利用對外開放、未有修補漏洞嘅企業裝置（特別係F5 BIG-IP同Cisco Nexus交換機），作為滲透內部網絡嘅橋頭堡 。
以顛覆驗證機制做主要植入手段	唔會喺一般電腦終端部署常見嘅遠端存取木馬（RAT），而係直接大規模更換Linux機隊上面，負責驗證使用者登入嘅核心組件 。
多據點網狀持久控制	喺唔同嘅網絡區段上面，維持多個立足點，咁樣就算冇咗一個存取點，甚至成部裝置都俾人移除咗，都唔會令到成個行動終止 。
就地取材（Living-off-the-land）	利用偷返嚟嘅有效憑證同SSH等標準管理工具去做橫向移動，留低極少嘅客製惡意軟件特徵，令偵測工具好難發現 。
工業規模憑證收割	由每次成功登入嘅網絡活動入面，截取明碼密碼，喺唔增加網絡噪音嘅情況之下，持續咁累積大量有效身份 。
超長潛伏期	營運期係以年計算，而唔係日或者星期。呢種「低頻慢速」嘅節奏，意味住短期嘅日誌保存同例行系統維護，都有機會抹走咗啲法證證據 。

攻擊歸屬同相關活動

Sygnia有高度信心，將「高原行動」歸屬俾Velvet Ant，並將呢個組織同由國家資助嘅中國間諜活動扯上關係 。呢個組織嘅主要目標係東亞嘅大型機構，特別係電訊服務供應商同關鍵基礎設施 。

之前同同期嘅行動，可以提供更多背景畀我哋參考。喺另一單案件入面，Velvet Ant利用舊款嘅F5 BIG-IP裝置做命令與控制（C2）嘅代理伺服器，時間長達至少三年，先俾Sygnia嘅調查人員揭發出嚟 。喺過往啲入侵行動入面，呢個組織亦都俾人發現佢哋用緊PlugX同ShadowPad呢啲惡意軟件，顯示佢哋個武器庫好廣泛，同時有客製同公開嘅工具 。

網絡防禦人員要即刻做啲咩

由「高原行動」學到最重要嘅一課防禦教訓就係：當成個驗證架構本身都唔可靠嘅時候，傳統嘅端點防護同密碼輪換，係完全唔夠嘅。

防禦方應該優先引入「檔案完整性監控」，唔係只係檢查檔案元數據，而係要攞關鍵系統二進位檔案嘅加密雜湊值（包括/lib/security/pam_unix.so同SSH守護進程執行檔），同已知乾淨嘅基準值做比對。將所有驗證事件集中記錄到一個唔可以篡改嘅外部系統，都係好關鍵嘅一步，因為一個擁有足夠權限嘅攻擊者，絕對有能力篡改主機上面嘅日誌。多重因素驗證（MFA）依然係一道有價值嘅防線，但佢冇辦法直接防禦到一個完全繞過晒驗證檢查嘅木馬化PAM服務。

「高原行動」清楚咁話畀我哋知：最危險嘅持續控制，根本唔似惡意軟件——佢睇起上嚟，就同你每日都信賴住嘅登入畫面一模一樣。