هکرهای مرتبط با چین نرم‌افزار ورود به سیستم لینوکس را برای نزدیک به یک دهه درب پشتی کردند

یک گروه هکری وابسته به چین موسوم به «Velvet Ant» طی نزدیک به یک دهه، با نفوذ به اجزای اصلی سیستم ورود به سیستم لینوکس، یعنی ماژول‌های PAM و OpenSSH، دسترسی پنهانی خود را در عمیق‌ترین لایه‌های زیرساخت قربانیان حفظ کرده است. شرکت امنیتی Sygnia که این عملیات را «Operation Highland» نام‌گذاری کرده، اعلام کرد قدیمی‌ترین ردپاهای این گروه به سال ۲۰۱۶ بازمی‌گردد. مهاجمان به‌جای استفاده از بدافزارهای قابل شناسایی، برنامه‌های ورود به سیستم مورد اعتماد را دستکاری کردند؛ برخی نسخه‌های تغییریافته PAM با رمز عبور مخفی دسترسی می‌دادند و برخی دیگر اطلاعات ورود کاربران را به‌صورت پنهانی ثبت می‌کردند. محققان نه نسخه مجزا از این ماژول‌های دستکاری‌شده یافتند. از آنجا که شبکه هدف به اینترنت دسترسی مستقیم نداشت، مهاجمان از سرورهای وب‌محور به‌عنوان پل ارتباطی استفاده کردند.

این رویکرد بخشی از الگوی گسترده‌تر Velvet Ant است که پیش‌تر نیز با بهره‌برداری از دستگاه‌های F5 BIG-IP و سوءاستفاده از آسیب‌پذیری CVE-2024-20399 در سوئیچ‌های Cisco NX-OS، زیرساخت‌های شبکه‌ای را به پایگاه‌های فرماندهی داخلی تبدیل کرده بود. آژانس CISA این آسیب‌پذیری سیسکو را که در جولای ۲۰۲۴ وصله شد، به‌عنوان مورد بهره‌برداری‌شده اعلام کرد. کارشناسان هشدار می‌دهند که چون سیستم احراز هویت (authentication) خود در اختیار مهاجم است، بازنشانی رمز عبور و قطع نشست‌ها بی‌اثر خواهد بود؛ راه‌حل اصلی، تأیید یکپارچگی فایل‌ها از طریق مقایسه با نسخه‌های معتبر و حذف درب‌های پشتی (backdoor) پیش از هر اقدام دیگری است.