這項置換動作僅透過單一植入物就提供了兩種能力:
傳統的資安事件應變程序,根本不是為了應對已重新編譯你作業系統登入二進位檔的敵人而設計的。Sygnia 的報告清楚說明了前幾次的清除嘗試為何會失敗:
pam_unix.so 和 SSH 二進位檔,除了其編譯邏輯外,各方面看來都是合法的系統檔案 「天鵝絨蟻」的成功,並非仰賴奇特的攻擊鏈。相反地,該組織展現的是一套成熟的作戰手冊,聚焦於耐心與身分驗證層的偽裝。
先前的與平行的攻擊行動提供了更多背景資訊。在另一起案件中,「天鵝絨蟻」在 Sygnia 調查揭露其活動之前,將舊版的 F5 BIG-IP 設備用作命令與控制(C2)的代理伺服器,長達至少三年 。該組織在早期的入侵行動中,也曾被觀察到部署 PlugX 和 ShadowPad 惡意軟體,顯示其擁有涵蓋自製與公開工具的廣泛武器庫
。
「高地行動」帶來的最重要防禦教訓是:當身分驗證堆疊本身已不可信任時,傳統的端點防護和憑證輪換策略將遠遠不足。
防禦者應優先實施檔案完整性監控,將關鍵系統二進位檔——包括 /lib/security/pam_unix.so 和 SSH 服務(Daemon)的二進位檔——的密碼學雜湊值(Cryptographic Hashes),與已知的安全基準進行比對,而非僅比對檔案中繼資料。同時,將所有身分驗證事件集中記錄到一個不可變更的外部系統,也同樣至關重要,因為擁有足夠權限的攻擊者可以竄改主機上的日誌。多因子驗證(MFA)仍是極有價值的屏障,但它無法直接防護一個完全繞過驗證檢查的 PAM 後門服務。
「高地行動」展示了一種最危險的持續潛伏手法,它看起來一點也不像惡意軟體——它看起來就像你每天信任的那個登入提示畫面。
Comments
0 comments