Специалисты компании Sygnia в ходе расследования инцидента, получившего название Operation Highland, обнаружили, что группа Velvet Ant, связанная с Китаем, проникла в сегмент сети, не имеющий прямого выхода в интернет, и оставалась незамеченной почти десять лет. Самые ранние артефакты атаки датируются 2016 годом. Злоумышленники не использовали прямой путь к цели, а выстроили многоступенчатую цепочку компрометации, пройдя через внешние узлы и IT-инфраструктуру.
Описание
Velvet Ant - это постоянная угроза, которую Sygnia отслеживает по нескольким расследованиям. Ранее группа уже была замечена в злоупотреблении устройствами F5 BIG-IP и устаревшей инфраструктурой Windows для долгосрочного закрепления в системах. Позднее аналитики зафиксировали эксплуатацию уязвимости CVE-2024-20399 (проблема нулевого дня в Cisco NX-OS) для развертывания гибридного бэкдора VELVETSHELL непосредственно на коммутаторах Cisco Nexus. Общая черта всех этих инцидентов: при обнаружении Velvet Ant переходит на менее контролируемые участки инфраструктуры и восстанавливает присутствие с новой точки.
Операция Highland отличается ключевой деталью: целевая сеть не имела прямого подключения к глобальной сети. Атакующим пришлось специально организовать доступ через несколько промежуточных этапов. Итоговый отчёт Sygnia детально описывает весь путь - от первоначального взлома серверов с выходом в интернет до глубокого закрепления в изолированной сети критической инфраструктуры.
В ходе отчёта Sygnia установила, что группа модифицировала PAM-модули (модули аутентификации, которые управляют проверкой паролей) и OpenSSH-бинарные файлы на множестве хостов. Злоумышленники фактически взяли под контроль весь стек аутентификации. Было обнаружено девять различных вариантов библиотеки pam_unix.so, каждый из которых собран в отдельной среде компиляции. Столь высокий уровень усилий указывает на хорошо ресурсно обеспеченную и тщательно спланированную операцию.
Измененные SSH-бинарные файлы включали специальный флаг -d, который позволял отключать собственное логирование учетных данных во время работы. Это давало возможность активно управлять цифровыми следами и не оставлять улик при выполнении команд. Подобная операционная дисциплина - отличительный признак опытного противника.
Процесс устранения угрозы оказался необычайно рискованным, поскольку злоумышленник изменил компоненты, критически важные для удаленного доступа и администрирования. Вмешательство в PAM и OpenSSH означает, что стандартные методы очистки могли заблокировать администраторам доступ к серверам. Sygnia подчеркивает: восстановление доверия к системе аутентификации требовало специальной лабораторной проверки и пошагового тестирования, чтобы не нарушить работу производства с нулевым временем простоя.
Атака прошла три стадии. На первом этапе Velvet Ant закрепилась на интернет-серверах с помощью модифицированной версии GS-Netcat (утилиты для шифрованного реверсного соединения через релейную сеть). Бинарный файл маскировался под систему аудита, а для автозагрузки использовались юнит-файлы systemd или скрипты SysVinit. Параллельно разворачивался SOCKS5-прокси на Perl, который позволял маршрутизировать трафик через скомпрометированные машины.
На втором этапе злоумышленники использовали Nginx и FastCGI. Они изменяли конфигурацию веб-сервера так, чтобы HTTP-запросы перенаправлялись на внутренний сервер, который через FastCGI-обёртку запускал бинарный файл uptime. Этот файл устанавливал SSH-соединение с целевым устройством в изолированной сети, передавая параметры из POST-запроса. Таким образом, атакующим не требовалось прямое подключение к сегменту критической инфраструктуры - всё выполнялось через цепочку HTTP-запросов.
Третий этап - подмена модулей аутентификации. Злоумышленники заменили pam_unix.so на модифицированные версии, которые либо пропускали проверку по жёстко заданному паролю бэкдора, либо перехватывали учётные данные легитимных пользователей. В некоторых вариантах пароль хранился в зашифрованном виде, а логи записывались в скрытый файл /usr/sbin/.ssh.log. Кроме того, были скомпрометированы бинарные файлы SSH и SSHD: они перехватывали учётные данные и записывали все команды, вводимые в оболочке (кейлоггинг). Для сокрытия использовалась маскировка процессов под стандартные системные потоки, а также изменение временных меток создаваемых файлов.
Дополнительно злоумышленники добавляли свои открытые ключи в authorised_keys, обеспечивая третий уровень постоянного доступа, не зависящий от модифицированных бинарников.
Выводы Sygnia неутешительны: Velvet Ant не полагается на единичный механизм закрепления. Каждый раз, когда один путь блокируется, группа переходит на другой. В случае с Highland атакующие встроились в сам процесс аутентификации, что делает обнаружение стандартными средствами практически невозможным. Инцидент демонстрирует, что в высокочувствительных средах, особенно изолированных, необходима проактивная охота за угрозами, которая проверяет не известные сигнатуры, а аномалии в поведении инфраструктурных компонентов. Восстановление после такой атаки требует не просто удаления вредоносных файлов, а тщательного восстановления доверия ко всем механизмам входа, с обязательным планом отката и запасными каналами доступа.
Индикаторы компрометации
