Linux versteckt Persistence: Velvet Ant modifiziert PAM und OpenSSH, um Anmeldeinformationen zu erfassen

Ein China-bezogener Schauspieler namens Velvet Ant hat die Beharrlichkeit auf ein neues Niveau gebracht: Statt sich in neue Software oder eigene Tools zu verstecken, hat es die Programme selbst modifiziert, die entscheiden, wer Linux-Systeme eintritt. Laut der öffentlichen Analyse und der Trajektorie der Gruppe kam der Gegner dazu, kritische Komponenten des Authentifizierungssystems zu ersetzen - PAM und OpenSSH- mit schädlichen Versionen, die Anmeldeinformationen und Befehle aufgezeichnet, oder die akzeptierte versteckte Passwörter; Stealth-Arbeit, die durch legitime Verwaltung für Jahre gehen kann.

Die Technik ist doppelt gefährlich: erstens, weil sie den zuverlässigsten Punkt des Hosts angreift - derjenige, der Identitäten validiert - und zweitens, weil das Ziel in vielen Fällen isolierte Netzwerke ohne direkten Internetzugang war. Um dorthin zu gelangen, benutzten die Angreifer Systeme, die als Brücke und verkleidete Werkzeuge belichtet wurden, die Befehle an das "Luftgepäck"-Segment weitergeben. Dieser geduldige und modulare Ansatz ist ähnlich wie die bisherigen Kampagnen desselben Schauspielers, die Infrastrukturgeräte wie F5 BIG-IP o Cisco NX-OS schaltet als interne Befehls- und Steuerplattformen.

Die betrieblichen Implikationen sind klar: Standard-Eindämmungsverfahren, wie zum Beispiel Schließsitzungen oder das Aufzwingen von Passwortwechsel, können unwirksam sein, wenn sich das Stück, das diese Anmeldeinformationen validiert, als Kompromiss erweist. Schlüssel zurücksetzen, ohne die Authentifizierungskette zu überprüfen und zu reinigen, lässt eine offene Tür für neue Anmeldeinformationen zu erfassen und auszufiltern.

Aus defensiver Sicht ist die erste Lektion, die Überwachung dorthin zu bewegen, wo sie traditionell nicht betrachtet wird. Dateiintegritätsüberwachung für Login-Bisaries (z.B. / usr / sbin / sshd und PAM-Module in / lib / security oder / lib64 / sicherheit nach Distribution) sollte auf der Prioritätsliste stehen. Zusätzlich zu Echtzeit-Benachrichtigungen ist es angebracht, aktive Jagd zu implementieren: vergleichen Sie ausführbare Hashes mit Kopien, die vom Lieferanten bekannt und unterschrieben werden, und überprüfen Sie die Integrität des Pakets mit den eigenen Werkzeugen des Paketmanagers (rpm -V, Debsums oder andere Alternativen nach der Scheibe).

Sanierungsmaßnahmen erfordern Vorsicht. Nicht ersetzen oder neu starten blind eine Produktion Authentifizierung binär; eine falsche Kopie kann Administratoren blockieren und die Wiederherstellung komplizieren. Der vernünftige Fluss besteht darin, die Ausrüstung zu isolieren, von einem Rettungsmedium (live CD / USB) zu starten, um eine vertrauenswürdige Umgebung zu erhalten, die Binäre durch unterzeichnete oder gebaute Artefakte in einer sicheren CI-Umgebung zu überprüfen und zu ersetzen, und dann nur Anmeldeinformationen und Schlüssel drehen. Die Prüfung eines Ersatzes in reproduzierbaren Laboren vor der Anwendung in der Produktion reduziert das Risiko tödlicher Fehler.

Die Komplementärhygiene, die das Missbrauchsfenster reduziert, beinhaltet die Minimierung von Diensten und Konten mit administrativen Privilegien, die Verzicht auf Multifaktor-Authentifizierung für kritischen Zugriff und die Bevorzugung von Schlüssel-basierten Authentifizierungs- und Hardware-geschützten Agenten, wo möglich. Es ist auch notwendig, ungewöhnliche Übertragungskanäle zu prüfen und zu blockieren: offene Webserver zu überprüfen, die als Brücke fungieren können und unerwartete ausgehende Verbindungen von Netzwerkanwendungen und Auswuchten zu überwachen.

Im konkreten Fall der Sicherheitslücken, die zuvor von diesem Schauspieler verwendet wurden, muss die Ausrüstung sicherstellen, dass die von Herstellern und Sicherheitsbehörden empfohlenen Patches und Minderungen angewendet werden. Die Organisationen können offizielle Mitteilungen und Anleitungen konsultieren, um die Exposition ihrer Infrastruktur zu bestätigen; öffentliche Mittel wie CISA oder Berichten von Firmen, die auf Vorfälle wie Sygnin bieten nützliche technische Kontext- und Minderungsschritte. Um die angegriffenen Komponenten besser zu verstehen und zu schützen, ist es auch notwendig, die ursprünglichen Quellen der Software zu überprüfen, OpenSSH und Linux-PAM.

Schließlich ist die strategische Lehre, dass das Standardvertrauen in die Infrastruktur durch kontinuierliche Überprüfung. Komponenten, die historisch als stabil und "immer richtig" betrachtet wurden - Schwimmer, Schalter und vor allem die Anmeldung selbst - sind jetzt Ziele der Beharrlichkeit. Eine wirksame Verteidigung erfordert die Integration von Integritätskontrollen in die tägliche Überwachung, Wiederherstellungspolitiken, die Vertrauensbildung und Bedrohungsübungen bieten, die kritische Geräteänderungen überprüfen, bevor angenommen wird, dass eine Wiedereinsetzung von Anmeldeinformationen den Vorfall schließt.