Η ομάδα κυβερνοκατασκοπίας Velvet Ant κατάφερε να παραμείνει αόρατη μέσα σε κρίσιμα δίκτυα για σχεδόν δέκα χρόνια, υπονομεύοντας τα ίδια τα συστήματα εισόδου σε Linux μηχανήματα, σε μια επιχείρηση που αποκαλύπτει πόσο εύθραυστη μπορεί να είναι η ασφάλεια ακόμα και σε δίκτυα απομονωμένα από το ίντερνετ.
Ας το πούμε απλά: φαντάσου να έχεις ένα σπίτι με τρεις πόρτες και να πιστεύεις ότι είναι ασφαλές επειδή δεν έχει παράθυρα. Τώρα φαντάσου ότι κάποιος κατάφερε να μπει, όχι σπάζοντας την πόρτα, αλλά αντικαθιστώντας το ίδιο το κλειδαριά με μια δική του που μοιάζει ακριβώς ίδια. Αυτό ακριβώς έκανε η ομάδα Velvet Ant, μια ομάδα κυβερνοκατασκοπίας με διασυνδέσεις στην Κίνα, σε μια επιχείρηση που οι ερευνητές ονόμασαν Operation Highland. Για σχεδόν δέκα χρόνια, από το 2016 έως το 2026, η ομάδα αυτή ζούσε μέσα σε κρίσιμα δίκτυα υποδομών χωρίς κανείς να το καταλάβει
Πώς μπήκαν σε δίκτυα που δεν είχαν καν σύνδεση με το ίντερνετ
Το πιο εντυπωσιακό στοιχείο αυτής της επίθεσης είναι ότι ο στόχος δεν είχε άμεση σύνδεση με το ίντερνετ. Πώς λοιπόν κατάφεραν να μπουν; Η απάντηση είναι υπομονή και στρατηγική. Οι επιτιθέμενοι πρώτα πήραν τον έλεγχο σε διακομιστές που ήταν εκτεθειμένοι στο ίντερνετ, μετά κινήθηκαν αργά-αργά μέσα στο εταιρικό δίκτυο και τελικά έφτασαν στο απομονωμένο τμήμα
Μόλις βρέθηκαν μέσα, έκαναν κάτι πολύ έξυπνο και ταυτόχρονα πολύ επικίνδυνο: αντικατέστησαν τα ίδια τα αρχεία που διαχειρίζονται την είσοδο στο σύστημα. Συγκεκριμένα, τροποποίησαν το pam_unix.so (το module του Linux που ελέγχει τους κωδικούς) και κάποια αρχεία του OpenSSH με δικές τους εκδόσεις που περιείχαν «backdoors». Αυτό σήμαινε ότι μπορούσαν να συνδεθούν με έναν κρυφό κωδικό που ήξεραν μόνο αυτοί, ή απλά να καταγράφουν όλους τους κωδικούς που πληκτρολογούσαν οι διαχειριστές.
Οι ερευνητές βρήκαν εννέα διαφορετικές εκδόσεις του κακόβουλου pam_unix.so, καθεμία φτιαγμένη σε διαφορετικό περιβάλλον, κάτι που δείχνει ότι η ομάδα είχε πολλούς πόρους και δούλευε μεθοδικά.
Μάλιστα, κάποια από τα τροποποιημένα αρχεία SSH είχαν μια ειδική «σημαία» (-d) που επέτρεπε στους επιτιθέμενους να απενεργοποιούν προσωρινά την καταγραφή, ώστε να μην αφήνουν ίχνη όταν δούλευαν οι ίδιοι.
Τι μπορούμε να κάνουμε για να προστατευτούμε από τέτοιες επιθέσεις
Ίσως σκέφτεσαι: «Αυτά συμβαίνουν σε μεγάλες εταιρείες, εμένα τι με νοιάζει;». Η αλήθεια είναι ότι σε νοιάζει, γιατί οι τακτικές που χρησιμοποιούν ομάδες όπως η Velvet Ant εξελίσσονται και μπορεί να στοχεύσουν οποιονδήποτε. Το μάθημα εδώ είναι ότι η απομόνωση ενός δικτύου από το ίντερνετ δεν αρκεί. Αν ένας επιτιθέμενος βρει τρόπο να μπει, μπορεί να παραμείνει κρυμμένος για χρόνια.
Για να προστατευτούμε, πρέπει να αλλάξουμε τον τρόπο που σκεφτόμαστε την ασφάλεια. Να ελέγχουμε τακτικά την ακεραιότητα κρίσιμων αρχείων όπως τα PAM modules και τα binaries του OpenSSH, να χρησιμοποιούμε συστήματα παρακολούθησης που μπορούν να εντοπίσουν ασυνήθιστες αλλαγές, και να μην βασιζόμαστε μόνο σε alerts αλλά να κάνουμε και ενεργό «κυνήγι» απειλών (threat hunting)
Επίσης, η χρήση multi-factor authentication και η διαχείριση προνομίων με αυστηρά κριτήρια μειώνουν σημαντικά το ρίσκο.
Η υπόθεση της Velvet Ant μας θυμίζει ότι στην κυβερνοασφάλεια δεν υπάρχει «απόλυτη» προστασία. Οι επιτιθέμενοι γίνονται όλο και πιο υπομονετικοί και δημιουργικοί, οπότε η άμυνά μας πρέπει να είναι εξίσου δυναμική. Το κλειδί δεν είναι να περιμένουμε να χτυπήσει ο συναγερμός, αλλά να ψάχνουμε ενεργά για σημάδια ότι κάποιος μπορεί να έχει ήδη μπει — και να φροντίζουμε τα θεμέλια της ασφάλειάς μας, όχι μόνο την πρόσοψη.
