SecBoard
Zurück zur Übersicht

China-Linked Hackers Backdoored Linux Login Software to Hide for Nearly a Decade

The Hacker News·
Originalartikel lesen bei The Hacker News

Chinesische Hacker, bekannt als Velvet Ant, haben sich fast ein Jahrzehnt lang unborgen in Linux-Anmeldesystemen versteckt. Sie manipulierten PAM- und OpenSSH-Komponenten, um unautorisierten Zugriff zu erhalten. Betroffene Organisationen sollten ihre Linux-Infrastruktur auf diese Backdoors überprüfen und entsprechende Sicherheitsmaßnahmen ergreifen.

Kurzfassung

Eine mit China verbundene Hackergruppe, von Sygnia als Velvet Ant verfolgt, hat sich fast ein Jahrzehnt lang in Linux-Anmeldesystemen versteckt. Die Gruppe kompromittierte PAM- und OpenSSH-Komponenten, um sich unentdeckt Zugang zu verschaffen. Dies ermöglichte es ihnen, sich in Systemen zu verbergen, die von Verteidigern weniger genau überwacht werden.

Relevanz für Manager / CISOs
Priorität:Hoch
Betroffene

Organisationen, die Linux-Systeme mit PAM- und OpenSSH-Komponenten verwenden.

Warum relevant

Die Bedrohung ist besonders kritisch, da die Angreifer sich in grundlegenden Anmeldesoftwarekomponenten versteckt haben, was eine langfristige Persistenz und Umgehung traditioneller Überwachung ermöglicht. Dies deutet auf eine ausgeklügelte und schwer zu erkennende Kompromittierung hin.

Realistisches Worst Case

Langfristiger, unentdeckter Zugriff auf kritische Linux-Systeme, der zur Datenexfiltration, Systemmanipulation oder weiteren lateralen Bewegung innerhalb der Infrastruktur führen kann, ohne dass dies durch Standard-Sicherheitskontrollen erkannt wird.

Handlungsempfehlung

Überprüfung der Integrität von PAM- und OpenSSH-Komponenten auf allen Linux-Systemen, insbesondere auf Anzeichen von Manipulationen oder unbekannten Modifikationen. Implementierung von erweiterten Protokollierungs- und Überwachungslösungen für Anmeldeaktivitäten.

Defensive Validierung / Purple-Team Checks
  • Überprüfen Sie die Integrität von PAM-Modulen und OpenSSH-Binärdateien auf allen Linux-Systemen auf unbekannte Hashes oder Modifikationen.
  • Analysieren Sie Anmelde- und Authentifizierungsprotokolle (z.B. /var/log/auth.log) auf ungewöhnliche oder nicht autorisierte Anmeldeversuche oder erfolgreiche Anmeldungen, die nicht mit bekannten Benutzern oder Prozessen korrelieren.
  • Implementieren Sie eine erweiterte Überwachung für Änderungen an kritischen Systemdateien, insbesondere in Verzeichnissen, die PAM- und OpenSSH-Konfigurationen und Binärdateien enthalten.
MITRE ATT&CK Zuordnung
TaktikTechnikKonfidenzBeleg
PersistenceT1546.006 Event Triggered Execution: PAMHighbackdoored the PAM and OpenSSH components that decide who is allowed to sign in
PersistenceT1546.004 Event Triggered Execution: Winlogon Helper DLLLowbackdoored the PAM and OpenSSH components that decide who is allowed to sign in
Defense EvasionT1070.004 Indicator Removal: File DeletionLownot specified in the article
Offene Punkte
  • Spezifische CVEs oder Exploits, die von der Gruppe verwendet wurden, sind nicht im Artikel genannt.
  • Die genauen Methoden, wie die Backdoors in PAM und OpenSSH implementiert wurden, sind nicht detailliert beschrieben.
  • Die betroffenen Branchen oder geografischen Regionen sind nicht spezifiziert.
  • Die genaue Dauer der Kompromittierung (fast ein Jahrzehnt) ist nicht mit einem Start- oder Enddatum versehen.
  • Die spezifischen Ziele oder Motivationen der Hackergruppe Velvet Ant sind nicht im Artikel aufgeführt.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

  • Initial Access möglich?Unklar
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Unklar
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

  • Können wir Reconnaissance detektieren?
  • Können wir Resource Development detektieren?

Erwähnte Akteure & Werkzeuge

Bedrohungsakteure

Abgleich mit dem MITRE-ATT&CK-Katalog

MITRE ATT&CK Kill Chain (3 Techniken)

Reconnaissance
Resource Development