Em vez de se esconder nos laptops e servidores que os defensores observam mais de perto, um grupo do Nexus da China passou quase uma década escondido dentro do próprio sistema de login do Linux.
Sygnia, que rastreia o grupo como Velvet Ant, diz que fez backdoor nos componentes PAM e OpenSSH que decidem quem tem permissão para entrar, plantando seu acesso onde a limpeza comum não poderia alcançá-lo. A rede visada não tinha acesso direto à Internet, então o grupo primeiro passou por sistemas voltados para a Internet para chegar lá.
Os primeiros vestígios remontam a 2016. Em vez de lançar novos malwares que um scanner poderia detectar, o invasor alterou os próprios programas de login confiáveis. Nada óbvio apareceu e nenhuma exploração foi necessária, então a atividade parecia uma administração normal.
Em muitas máquinas, o invasor substituiu o módulo principal de login do PAM por cópias backdoor. Alguns os deixam entrar com uma senha secreta; outros gravaram discretamente nomes de usuário e senhas reais conforme as pessoas faziam login.
Os pesquisadores encontraram nove versões separadas. Os programas OpenSSH foram alterados da mesma maneira, registrando credenciais e todos os comandos digitados, com uma opção oculta para desativar esse registro quando necessário.
Alcançar a rede isolada exigiu trabalho extra. O invasor usou outras ferramentas disfarçadas e um servidor Web voltado para a Internet como ponte, passando comandos por meio dele para abrir sessões remotas nas profundezas do segmento que não tinha acesso direto à Internet.
Como o próprio sistema de login foi comprometido, a contenção normal fez pouco. As redefinições de senha e as sessões eliminadas não ajudam quando o dispositivo que verifica essas credenciais está funcionando para o invasor.
Isso não é novidade para o grupo. Cada vez que os defensores encontram um ponto de apoio, o Velvet Ant se move para um equipamento que eles assistem menos e se posiciona lá. Em um caso de 2024, Sygnia encontrou o mesmo ator transformando dispositivos F5 BIG-IP expostos à Internet em servidores de comando internos.
Mais tarde naquele ano, foi relatado que o grupo estava explorando uma falha do Cisco NX-OS, CVE-2024-20399, para implantar um backdoor nos switches. Esse bug precisa primeiro de acesso de administrador, portanto é uma ferramenta de persistência, não uma invasão remota. A Cisco corrigiu-o em julho de 2024 e a CISA sinalizou-o como explorado no dia seguinte.
A Operação Highland é a mesma ideia, um nível mais profundo. Balanceadores de carga, switches e o próprio software de login são confiáveis por padrão e raramente verificados, e é exatamente por isso que um invasor paciente se esconde dentro deles.
A Operação Highland não é um problema de um CVE. O invasor alterou os programas confiáveis depois de entrar, então a correção é a verificação, não o patch, e a limpeza é delicada: uma substituição errada pode bloquear o acesso dos administradores a um sistema ativo.
- Observe os arquivos de login. Monitore os programas PAM e OpenSSH e seus arquivos principais em busca de qualquer alteração e alerte quando eles mudarem.
- Cace verificando o que mudou, não esperando por um alerta. Compare esses programas com cópias em boas condições, porque nada irá sinalizá-los para você.
- Remova o backdoor antes de redefinir as senhas ou as novas serão roubadas da mesma forma. Teste qualquer substituição em um laboratório primeiro.
Os casos anteriores da F5 e da Cisco mostram o mesmo padrão: o invasor escolhe equipamentos de rede e autenticação que raramente passam por auditoria profunda. A Operação Highland reforça que a defesa precisa incluir integridade de binários de login, não apenas patches de CVE.