中国のハッカーが認証フローを乗っ取り、10年間にわたり隔離されたネットワークを監視していた

中国のハッカーは、標的となった組織の認証スタックを乗っ取り、10年間にわたり潜伏し続け、管理業務の全容を把握していた。

「オペレーション・ハイランド」と名付けられたこの侵入は、サイバー諜報脅威グループ「Velvet Ant」によるものとされており、同グループは脆弱なインターネット接続システムを標的とした後、外部への直接的な経路を持たないネットワークへと攻撃の矛先を移した。

「Velvet Ant」活動クラスターに属する中国のハッカーは、ある大規模組織の隔離された重要インフラネットワークに侵入し、10年間にわたりサイバー諜報活動を行っていた。

このキャンペーンは、発見したSygniaの研究者らによって「オペレーション・ハイランド」と名付けられ、2016年に開始された。当初は脆弱なインターネット接続システムを標的とし、その後、インターネットへの直接接続がない「エアギャップ」環境へと攻撃の拠点を移した。

Velvet Antによる長期にわたるスパイ活動は2024年に記録されたもので、当時Sygniaは、3年間にわたり検知されずに活動していたF5 BIG-IPデバイスを標的としたキャンペーンについて警告を発していた。

また2024年、シスコはNexusスイッチ上で動作するNX-OSのゼロデイ脆弱性について警告を発したが、これはVelvet Antが標的へのアクセスを得るために悪用されていたものである。

Velvet Antの攻撃チェーン

攻撃は、インターネットに公開されたサーバーの侵害から始まりますが、研究者らは具体的な製品名や利用された脆弱性については言及していません。

Velvet Antは、正当なシステムコンポーネントを装った改変版GS-Netcatリバースシェルを展開し、ハードコードされた中継ドメインに接続することで、暗号化されたリモートシェルアクセスを提供した。

このシェルは、悪意のあるsystemdサービス、あるいはスタートアップスクリプトの改変を通じて、システムへの永続化を実現した。

次に、Velvet Antはネットワークトラフィックのトンネリング用にカスタムSOCKS5プロキシをインストールし、インターネットから直接アクセスできない内部システムへの到達を可能にしました。

このプロキシは、「smbd -D」を装ったデーモンとして実行され、ホストごとに異なるファイル名とポートを使用し、侵害されたサーバーを内部のピボットポイントに変えました。

この攻撃で最も興味深い点は、隔離されたネットワークへのリモート実行経路を構築したことでした。

これを実現するため、Velvet Ant は、侵害されたインターネットに面した Nginx サーバーの設定を変更し、特別に細工されたリクエストを侵害されたバックエンドサーバーにプロキシするようにしました。

バックエンドサーバーの Nginx 設定も変更され、別のポートでリスニングしている FastCGI プロセス (fcgiwrap) にリクエストを転送するようになりました。

この FastCGI ラッパーは実行ブリッジとして機能し、リクエストを処理して「uptime」という名前のカスタムバイナリを起動しました。

このツールは、HTTP POSTリクエストで渡されたパラメータを使用して、隔離された重要インフラネットワーク内のシステムへのSSH接続を確立しました。

隔離された環境へのアクセスを確立した後、Velvet Antは、管理者がユーザー認証方法を設定できるライブラリ群であるLinux Pluggable Authentication Modules（PAM）を標的にし、長期的な潜伏と認証情報の窃取に焦点を移しました。

攻撃者は、正当な「pam_unix.so」モジュールを、ハードコードされたパスワードを受け入れ、ユーザーの認証情報を収集するバックドア仕込みのバージョンに置き換えました。

Sygniaは、悪意のあるPAMモジュールの9つの異なる亜種を特定しました。これらはそれぞれ別々のビルド環境でコンパイルされており、リソースの豊富な脅威アクターによるものであることを示唆しています。

研究者によると、悪意のあるPAMモジュールのうち2つは、バックドアとしてのみ機能し、認証情報を収集するという点で際立っているとのことです。

Velvet Antの攻撃者はまた、ssh、sshd、scpなどのOpenSSHコンポーネントを、認証情報を取得し、SSHセッション中に入力されたコマンドを記録し、収集したデータを将来の取得のためにローカルに保存するトロイの木馬化されたバージョンに置き換えました。

Sygnia社によると、PAMおよびOpenSSHコンポーネントを改変して認証プロセスへの制御を拡大することで、脅威アクターは標的環境で使用される認証情報にアクセスできるようになり、認証フローを迂回することが可能になったという。

「管理者の活動は完全に可視化された。侵害されたホスト全体でのあらゆるログイン、実行されたすべてのコマンドが把握可能となった。アクセスはもはや特定の足場（foothold）に縛られることなく、認証プロセスそのものに組み込まれた」と研究者らは説明している。

これにより、ハッカーはパスワードの変更やセッションの終了にもかかわらず持続性を確保し、「従来の封じ込め対策の有効性」を低下させることができた。

複雑なクリーンアップ

Sygniaによると、侵害の発見後であっても、その修復や侵害された環境からのVelvet Antの削除は特に複雑だったという。

攻撃者は非常に多くの重要なコンポーネントをカスタム版に置き換えていたため、それらを削除すると認証が機能しなくなり、正当な管理者がシステムにアクセスできなくなり、運用停止を引き起こす可能性が高かった。

この問題に対処するため、研究者らはバイナリ置換プロセスを検証するためのテストラボを構築し、各ホストのプロファイリングを行い、結果をテストした上で、クリーンアップを試みる前にロールバック手順を準備した。

Sygniaは、防御担当者がPAM、OpenSSH、Windows LSASSなどの認証コンポーネントを重要なセキュリティ資産として扱い、EDR、ファイル整合性監視、強化された特権アクセス、多要素認証（MFA）、および不正な変更に対する継続的な監視によってこれらを保護することを推奨している。

組織は、不変のコピーを含むスナップショットを自動的に作成するための適切なスケジュールを備えた厳格なバックアップを含む、オフライン復旧を計画すべきです。

復元プロセスにおいては、検証済みのオペレーティングシステムを実行するバックアップおよび復旧用ホスト、ならびに復旧スクリプトのテストを考慮に入れる必要があります。