Velvet Ant冇投放嗰啲檔案掃描器同端點偵測會發現到嘅客製惡意軟件,而係選擇去顛覆作業系統自己嘅信任架構 。喺幾十部主機上面,佢哋有系統咁將Linux核心嘅驗證組件,換咗做木馬化版本。具體嚟講,就係
pam_unix.so 可插拔驗證模組同埋幾個OpenSSH執行檔 。
就係呢個簡單嘅替換動作,一個植入物就提供咗兩個功能:
傳統嘅資安事故應變手冊,係設計嚟對付嗰啲會「安裝惡意軟件」嘅敵人,而唔係對付嗰啲將你成個作業系統嘅登入程式重新編譯嘅敵人。Sygnia份報告解釋得好清楚,點解頭幾次嘅清理嘗試全部都失敗:
pam_unix.so同SSH執行檔,除咗編譯邏輯唔同之外,佢哋表面上同真正嘅系統檔案係冇分別嘅 之前同同期嘅行動,可以提供更多背景畀我哋參考。喺另一單案件入面,Velvet Ant利用舊款嘅F5 BIG-IP裝置做命令與控制(C2)嘅代理伺服器,時間長達至少三年,先俾Sygnia嘅調查人員揭發出嚟 。喺過往啲入侵行動入面,呢個組織亦都俾人發現佢哋用緊PlugX同ShadowPad呢啲惡意軟件,顯示佢哋個武器庫好廣泛,同時有客製同公開嘅工具
。
由「高原行動」學到最重要嘅一課防禦教訓就係:當成個驗證架構本身都唔可靠嘅時候,傳統嘅端點防護同密碼輪換,係完全唔夠嘅。
防禦方應該優先引入「檔案完整性監控」,唔係只係檢查檔案元數據,而係要攞關鍵系統二進位檔案嘅加密雜湊值(包括/lib/security/pam_unix.so同SSH守護進程執行檔),同已知乾淨嘅基準值做比對。將所有驗證事件集中記錄到一個唔可以篡改嘅外部系統,都係好關鍵嘅一步,因為一個擁有足夠權限嘅攻擊者,絕對有能力篡改主機上面嘅日誌。多重因素驗證(MFA)依然係一道有價值嘅防線,但佢冇辦法直接防禦到一個完全繞過晒驗證檢查嘅木馬化PAM服務。
「高原行動」清楚咁話畀我哋知:最危險嘅持續控制,根本唔似惡意軟件——佢睇起上嚟,就同你每日都信賴住嘅登入畫面一模一樣。
Comments
0 comments