CAT$730.69-3.75%

Un grup de spionaj cibernetic a controlat autentificarea și a rămas nedetectat 10 ani, ceea ce arată cât de greu devine de curățat un incident atunci când atacatorii modifică componente critice de sistem, nu doar „intră” printr-o breșă punctuală, potrivit BleepingComputer.

Campania, denumită „Operation Highland” de cercetătorii Sygnia, este atribuită grupului de spionaj „Velvet Ant” și ar fi început în 2016. Atacatorii au vizat inițial sisteme expuse la internet, apoi au pivotat către un mediu „air-gapped” (izolat, fără conexiune directă la internet), ajungând inclusiv într-o rețea de infrastructură critică a unei organizații mari.

De ce contează: când autentificarea e compromisă, remedierea devine un risc operațional

Elementul central al operațiunii a fost preluarea controlului asupra „stivei” de autentificare (componentele care verifică identitatea utilizatorilor). Odată ce atacatorii au înlocuit biblioteci și programe esențiale, eliminarea lor a devenit dificilă fără riscul de a bloca administratorii legitimi sau de a provoca întreruperi.

Sygnia descrie că, după ce au ajuns în mediul izolat, atacatorii au urmărit persistență pe termen lung și furt de credențiale, inclusiv prin modificarea PAM (Pluggable Authentication Modules – biblioteci folosite în Linux pentru autentificare) și a componentelor OpenSSH.

Cum au ajuns în rețeaua izolată

Lanțul de atac descris pornește de la compromiterea unor servere expuse la internet (fără a fi precizat produsul sau vulnerabilitatea folosită). Ulterior, atacatorii au construit treptat capacitatea de a se mișca în interior:

• au instalat un „reverse shell” (acces de la distanță) bazat pe o versiune modificată de GS-Netcat, mascat ca o componentă legitimă, cu conectare la un domeniu de relay „hardcodat”;
• au obținut persistență printr-un serviciu systemd malițios sau prin modificarea scripturilor de pornire;
• au instalat un proxy SOCKS5 personalizat pentru tunelarea traficului, transformând serverele compromise în puncte de pivotare către sisteme interne.

Cea mai neobișnuită etapă, potrivit cercetătorilor, a fost construirea unei căi de execuție la distanță către rețeaua izolată, fără o conexiune directă către aceasta. Atacatorii ar fi modificat configurații Nginx pe servere compromise astfel încât cereri HTTP „special construite” să fie redirecționate către un proces FastCGI (fcgiwrap), care lansa un binar personalizat („uptime”). Acesta iniția conexiuni SSH către sisteme din rețeaua izolată, pe baza parametrilor primiți prin cereri HTTP POST.

„Prin înlănțuirea acestor modificări, Velvet Ant a stabilit o cale de execuție la distanță în mediul segregat prin cereri HTTP simple, fără să fie necesară vreodată o conexiune directă către rețeaua de infrastructură critică.” – Sygnia

Compromiterea autentificării: PAM și OpenSSH, înlocuite cu versiuni troianizate

După stabilirea accesului, atacatorii ar fi trecut la controlul autentificării:

• au înlocuit modulul legitim „pam_unix.so” cu versiuni „backdoor-ate” care acceptau parole hardcodate și colectau credențiale;
• Sygnia a identificat nouă variante distincte ale modulului PAM malițios, compilate în medii diferite, ceea ce sugerează resurse semnificative;
• au înlocuit componente OpenSSH (ssh, sshd, scp) cu versiuni troianizate care capturau credențiale, înregistrau comenzi din sesiunile SSH și stocau local datele pentru recuperare ulterioară.

Consecința, conform analizei, a fost vizibilitate completă asupra activității administrative și o persistență care nu mai depindea de „punctul de intrare” inițial, ci era „înglobată” în procesul de autentificare.

Curățarea incidentului, complicată de riscul de blocare și întreruperi

Sygnia afirmă că remedierea a fost deosebit de dificilă deoarece atacatorii au înlocuit atât de multe componente critice, încât eliminarea lor putea:

• să rupă autentificarea,
• să blocheze administratorii legitimi,
• să provoace întreruperi operaționale.

Pentru a reduce riscurile, echipa a construit un laborator de testare pentru a valida procesul de înlocuire a binarelor, a profilat fiecare host, a testat rezultatele și a pregătit proceduri de revenire (rollback) înainte de intervenția efectivă.

În recomandările sale, Sygnia indică tratarea componentelor de autentificare (PAM, OpenSSH și, în mediile Windows, LSASS) ca active critice de securitate, cu măsuri precum EDR (detecție și răspuns la nivel de endpoint), monitorizare a integrității fișierelor, control întărit al accesului privilegiat, autentificare multifactor și monitorizare continuă a modificărilor neautorizate. De asemenea, compania recomandă planificarea recuperării offline, inclusiv copii de siguranță cu „snapshot-uri” și copii imuabile, plus testarea restaurării.