China-Linked Hackers Backdoored Linux Login Software to Hide for Nearly a Decade
Chinesische Hacker, bekannt als Velvet Ant, haben sich fast ein Jahrzehnt lang unborgen in Linux-Anmeldesystemen versteckt. Sie manipulierten PAM- und OpenSSH-Komponenten, um unautorisierten Zugriff zu erhalten. Betroffene Organisationen sollten ihre Linux-Infrastruktur auf diese Backdoors überprüfen und entsprechende Sicherheitsmaßnahmen ergreifen.
Eine mit China verbundene Hackergruppe, von Sygnia als Velvet Ant verfolgt, hat sich fast ein Jahrzehnt lang in Linux-Anmeldesystemen versteckt. Die Gruppe kompromittierte PAM- und OpenSSH-Komponenten, um sich unentdeckt Zugang zu verschaffen. Dies ermöglichte es ihnen, sich in Systemen zu verbergen, die von Verteidigern weniger genau überwacht werden.
Organisationen, die Linux-Systeme mit PAM- und OpenSSH-Komponenten verwenden.
Die Bedrohung ist besonders kritisch, da die Angreifer sich in grundlegenden Anmeldesoftwarekomponenten versteckt haben, was eine langfristige Persistenz und Umgehung traditioneller Überwachung ermöglicht. Dies deutet auf eine ausgeklügelte und schwer zu erkennende Kompromittierung hin.
Langfristiger, unentdeckter Zugriff auf kritische Linux-Systeme, der zur Datenexfiltration, Systemmanipulation oder weiteren lateralen Bewegung innerhalb der Infrastruktur führen kann, ohne dass dies durch Standard-Sicherheitskontrollen erkannt wird.
Überprüfung der Integrität von PAM- und OpenSSH-Komponenten auf allen Linux-Systemen, insbesondere auf Anzeichen von Manipulationen oder unbekannten Modifikationen. Implementierung von erweiterten Protokollierungs- und Überwachungslösungen für Anmeldeaktivitäten.
- ▸Überprüfen Sie die Integrität von PAM-Modulen und OpenSSH-Binärdateien auf allen Linux-Systemen auf unbekannte Hashes oder Modifikationen.
- ▸Analysieren Sie Anmelde- und Authentifizierungsprotokolle (z.B. /var/log/auth.log) auf ungewöhnliche oder nicht autorisierte Anmeldeversuche oder erfolgreiche Anmeldungen, die nicht mit bekannten Benutzern oder Prozessen korrelieren.
- ▸Implementieren Sie eine erweiterte Überwachung für Änderungen an kritischen Systemdateien, insbesondere in Verzeichnissen, die PAM- und OpenSSH-Konfigurationen und Binärdateien enthalten.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Persistence | T1546.006 Event Triggered Execution: PAM | High | backdoored the PAM and OpenSSH components that decide who is allowed to sign in |
| Persistence | T1546.004 Event Triggered Execution: Winlogon Helper DLL | Low | backdoored the PAM and OpenSSH components that decide who is allowed to sign in |
| Defense Evasion | T1070.004 Indicator Removal: File Deletion | Low | not specified in the article |
- Spezifische CVEs oder Exploits, die von der Gruppe verwendet wurden, sind nicht im Artikel genannt.
- Die genauen Methoden, wie die Backdoors in PAM und OpenSSH implementiert wurden, sind nicht detailliert beschrieben.
- Die betroffenen Branchen oder geografischen Regionen sind nicht spezifiziert.
- Die genaue Dauer der Kompromittierung (fast ein Jahrzehnt) ist nicht mit einem Start- oder Enddatum versehen.
- Die spezifischen Ziele oder Motivationen der Hackergruppe Velvet Ant sind nicht im Artikel aufgeführt.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Können wir Reconnaissance detektieren?
- Können wir Resource Development detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog