Dziesięć lat w izolowanej sieci. Jak grupa Velvet Ant przejęła kontrolę nad uwierzytelnianiem

Grupa Velvet Ant, powiązana z chińskim cyberwywiadem, przez dziesięć lat prowadziła operację szpiegowską w izolowanej sieci krytycznej infrastruktury dużej organizacji. Atakujący przejęli kontrolę nad procesem uwierzytelniania, co pozwoliło im przechwytywać dane logowania i obserwować każdą czynność administratorów. Incydent, nazwany przez badaczy z firmy Sygnia „Operation Highland”, pokazuje, jak wyrafinowane mogą być długoterminowe kampanie APT i jak trudno je usunąć bez zakłócenia działania ofiary.

Jak Velvet Ant dostał się do odizolowanej sieci

Atak rozpoczął się w 2016 roku od kompromitacji serwerów podłączonych do internetu. Badacze nie ujawnili, jaki produkt ani podatność posłużyły do pierwszego włamania. Następnie grupa wdrożyła zmodyfikowaną wersję reverse shella GS-Netcat, która maskowała się jako legalny komponent systemu i łączyła się z twardo zakodowanym serwerem przekaźnikowym. Uzyskano w ten sposób szyfrowany dostęp do powłoki zdalnej.

Kolejnym krokiem było zainstalowanie niestandardowego proxy SOCKS5, które umożliwiło tunelowanie ruchu sieciowego do systemów wewnętrznych niedostępnych bezpośrednio z internetu. Proxy działało jako demon podszywający się pod proces smbd -D, a na każdym hoście używało innych nazw plików i portów. Dzięki temu przejęte serwery stały się wewnętrznymi punktami przesiadkowymi.

Najbardziej zaawansowanym elementem ataku było zbudowanie ścieżki zdalnego wykonania kodu do sieci izolowanej. Atakujący zmodyfikowali konfigurację skompromitowanego serwera Nginx, aby przekierowywał specjalnie spreparowane żądania HTTP do backendu. Tam kolejna zmiana konfiguracji Nginx kierowała żądania do procesu FastCGI (fcgiwrap), który uruchamiał niestandardowe narzędzie o nazwie „uptime”. To narzędzie nawiązywało połączenia SSH z systemami w sieci krytycznej infrastruktury, korzystając z parametrów dostarczonych w żądaniach HTTP POST.

Badacze Sygnia podsumowują:

„Łącząc te modyfikacje, Velvet Ant ustanowił ścieżkę zdalnego wykonania do odizolowanego środowiska za pomocą prostych żądań HTTP, bez konieczności bezpośredniego połączenia z siecią krytycznej infrastruktury”.

Przejęcie procesu uwierzytelniania – klucz do dziesięcioletniej obecności

Po uzyskaniu dostępu do izolowanej sieci grupa skupiła się na długoterminowej persystencji i kradzieży poświadczeń. Celowo zaatakowano Linux Pluggable Authentication Modules (PAM) – zestaw bibliotek umożliwiających administratorom konfigurację metod uwierzytelniania użytkowników. Atakujący zastąpili legalne moduły pam_unix.so backdoorowanymi wersjami, które akceptowały twardo zakodowane hasła i przechwytywały dane logowania.

Sygnia zidentyfikowała dziewięć różnych wariantów złośliwego modułu PAM, każdy skompilowany w osobnym środowisku, co świadczy o dobrze zasobnym przeciwniku. Dwa z tych wariantów wyróżniały się – działały wyłącznie jako backdoor lub wyłącznie zbierały poświadczenia.

Dodatkowo Velvet Ant zastąpił komponenty OpenSSH (ssh, sshd, scp) trojanizowanymi wersjami, które przechwytywały dane logowania, rejestrowały polecenia wykonywane podczas sesji SSH i przechowywały zebrane dane lokalnie do późniejszego odbioru. Badacze tłumaczą: „Aktywność administracyjna stała się w pełni obserwowalna: każde logowanie, każde polecenie wykonane na skompromitowanych hostach. Dostęp nie był już powiązany z konkretnym punktem wejścia, ale wbudowany w sam proces uwierzytelniania”. W rezultacie atakujący zachowali dostęp mimo zmian haseł i zakończenia sesji, a także ograniczyli skuteczność konwencjonalnych środków zaradczych.

Dlaczego usunięcie zagrożenia było tak trudne

Nawet po wykryciu kompromitacji, usunięcie Velvet Ant ze środowiska okazało się wyjątkowo skomplikowane. Atakujący zastąpili tak wiele krytycznych komponentów własnymi wersjami, że ich usunięcie groziło zablokowaniem dostępu legalnym administratorom i spowodowaniem przerw w działaniu. Aby rozwiązać ten problem, badacze zbudowali laboratorium testowe, w którym walidowali proces wymiany plików binarnych, profilowali każdy host, testowali wyniki i przygotowywali procedury wycofywania zmian przed przystąpieniem do czyszczenia.

Sygnia zaleca, aby zespoły bezpieczeństwa traktowały komponenty uwierzytelniania, takie jak PAM, OpenSSH i Windows LSASS, jako krytyczne zasoby bezpieczeństwa i chroniły je za pomocą EDR, monitorowania integralności plików, wzmocnionego dostępu uprzywilejowanego, uwierzytelniania wieloskładnikowego (MFA) oraz ciągłego monitorowania pod kątem nieautoryzowanych modyfikacji. Organizacje powinny również planować odzyskiwanie w trybie offline, obejmujące rygorystyczne kopie zapasowe z automatycznym tworzeniem migawek i niezmienialnymi kopiami. Proces przywracania powinien uwzględniać testowanie kopii zapasowych i hostów odzyskiwania z systemami operacyjnymi, które zostały zweryfikowane.

Co to oznacza dla polskich firm i administratorów

Incydent Velvet Ant pokazuje, że nawet sieci fizycznie odizolowane od internetu (tzw. air-gapped) nie są bezpieczne, jeśli atakujący najpierw przejmą kontrolę nad systemami pośredniczącymi. Dla polskich firm i instytucji zarządzających krytyczną infrastrukturą kluczowe wnioski są następujące:

• Monitoruj integralność komponentów uwierzytelniania – regularnie sprawdzaj, czy pliki PAM, OpenSSH i inne krytyczne biblioteki nie zostały zmodyfikowane. Używaj narzędzi do monitorowania integralności plików (FIM).
• Stosuj uwierzytelnianie wieloskładnikowe (MFA) – szczególnie w przypadku dostępu do systemów krytycznych. MFA utrudnia atakującym wykorzystanie skradzionych haseł.
• Segmentuj sieć i kontroluj przepływ ruchu – nawet jeśli jedna część sieci zostanie skompromitowana, segmentacja może ograniczyć możliwość przemieszczania się atakujących.
• Regularnie testuj procedury odzyskiwania – upewnij się, że kopie zapasowe są niezmienialne i że proces przywracania został przetestowany w warunkach zbliżonych do rzeczywistych.
• Szkol personel – kampanie phishingowe, takie jak te opisane przez CERT Polska dotyczące ataków na polskie konta Gmail, pokazują, że pierwszym ogniwem ataku często jest człowiek.

Operacja Highland to przestroga, że zagrożenia ze strony zaawansowanych grup APT nie ograniczają się do szybkich włamań. Długoterminowe kampanie szpiegowskie mogą trwać latami, a ich wykrycie i usunięcie wymaga specjalistycznych narzędzi i procedur. Warto śledzić komunikaty CERT Polska, który regularnie publikuje raporty o bieżących zagrożeniach i zalecenia dla administratorów.