Un grupo vinculado a China, denominado Velvet Ant, logró ocultarse durante casi una década alterando los sistemas de inicio de sesión PAM y OpenSSH en Linux. Al modificar los programas legítimos en lugar de usar malware, evitaron la detección y pudieron robar credenciales incluso en redes aisladas. La solución requiere verificar la integridad de los archivos del sistema, ya que los parches comunes y el cambio de contraseñas no eliminan este tipo de persistencia.





En lugar de esconderse en los portátiles y servidores que los defensores vigilan más estrechamente, un grupo vinculado a China pasó casi una década oculto dentro del propio sistema de inicio de sesión de Linux.

Sygnia, que identifica al grupo como Velvet Ant, afirma que instaló una puerta trasera en los componentes PAM y OpenSSH que deciden quién tiene permiso para iniciar sesión, plantando su acceso donde una limpieza ordinaria no podría llegar. La red a la que se dirigieron no tenía acceso directo a internet, por lo que el grupo primero se posicionó a través de sistemas orientados a internet para llegar allí.

Los rastros más antiguos se remontan a 2016. En lugar de lanzar nuevo malware que un escáner pudiera detectar, el atacante cambió los propios programas de inicio de sesión confiables. No apareció nada obvio y no fue necesario ningún exploit, por lo que la actividad parecía una administración normal.

En muchas máquinas, el atacante reemplazó el módulo de inicio de sesión PAM principal con copias con puerta trasera. Algunas les permitían entrar con una contraseña secreta; otras registraban silenciosamente nombres de usuario y contraseñas reales mientras las personas iniciaban sesión.

Los investigadores encontraron nueve versiones separadas. Los programas OpenSSH fueron alterados de la misma manera, registrando credenciales y cada comando escrito, con un interruptor oculto para desactivar ese registro cuando fuera necesario.

Llegar a la red aislada requirió un trabajo extra. El atacante utilizó otras herramientas disfrazadas y un servidor web orientado a internet como puente, pasando comandos a través de él para abrir sesiones remotas en lo profundo del segmento que no tenía acceso directo a internet.

Debido a que el propio sistema de inicio de sesión estaba comprometido, el containment normal sirvió de poco. Los restablecimientos de contraseñas y el cierre de sesiones no ayudan cuando lo que verifica esas credenciales está trabajando para el atacante.



Esto no es nuevo para el grupo. Cada vez que los defensores encuentran un punto de apoyo, Velvet Ant se desplaza a equipos que vigilan menos y se instala allí. En un caso de 2024 https://www.sygnia.co/blog/china-nexus-threat-group-velvet-ant/, Sygnia descubrió al mismo actor convirtiendo dispositivos F5 BIG-IP expuestos a internet en servidores de comandos internos.

Más tarde ese año, informó que el grupo explotaba un fallo de Cisco NX-OS, CVE-2024-20399, para plantar una puerta trasera en los switches. Ese error requiere primero acceso de administrador, por lo que es una herramienta de persistencia, no una intrusión remota. Cisco lo parcheó en julio de 2024, y CISA lo marcó como explotado al día siguiente.

La Operación Highland sigue la misma idea, un nivel más profundo. Los equilibradores de carga, los switches y el propio software de inicio de sesión son confiables por defecto y rara vez se revisan, que es exactamente la razón por la que un atacante paciente se esconde dentro de ellos.

La Operación Highland no es un problema de un solo CVE. El atacante cambió programas confiables después de entrar, por lo que la solución es la verificación, no el parcheo, y la limpieza es delicada: un reemplazo incorrecto puede bloquear a los administradores de un sistema activo.

• Vigila los archivos de inicio de sesión. Monitorea los programas PAM y OpenSSH y sus archivos clave para detectar cualquier cambio, y recibe alertas cuando cambien.
• Caza revisando qué cambió, no esperando una alerta. Compara estos programas con copias conocidas y correctas, porque nada te los señalará automáticamente.
• Elimina la puerta trasera antes de restablecer las contraseñas, o las nuevas serán robadas de la misma manera. Prueba cualquier reemplazo en un laboratorio primero.

Los casos anteriores de F5 y Cisco tienen sus propios controles: parchea CVE-2024-20399 en los equipos Cisco Nexus y vigila las cajas F5 en busca de conexiones salientes inesperadas.

La lección general es clara: la infraestructura que se encuentra fuera del monitoreo normal todavía necesita controles de integridad, y eso ahora incluye la capa de inicio de sesión.

Fuente:
THN