Um grupo de piratas informáticos chineses, conhecido como Velvet Ant, conseguiu infiltrar-se e manter o controlo da rede de uma grande organização de infraestruturas críticas durante uma década. A descoberta foi detalhada pelos investigadores da Sygnia, que batizaram esta sofisticada campanha de ciberespionagem de "Operation Highland".
O salto para a rede isolada
O ataque teve início em 2016, tendo como alvo inicial sistemas vulneráveis expostos à Internet. A partir desse ponto de entrada, os atacantes conseguiram focar-se num ambiente isolado que, teoricamente, não possuía qualquer ligação direta ao exterior. A tática envolveu a instalação de um proxy SOCKS5 personalizado para criar um túnel de tráfego, transformando os servidores comprometidos em pontos de acesso internos disfarçados de processos legítimos do sistema.
Para executar comandos de forma remota na rede protegida, o grupo modificou a configuração de um servidor exposto. Este reencaminhava pedidos manipulados para um processo FastCGI interno, que por sua vez lançava um binário disfarçado de "uptime". Este mecanismo permitia estabelecer ligações SSH ocultas para a infraestrutura crítica utilizando apenas simples pedidos HTTP, eliminando a necessidade de uma via de comunicação direta e óbvia.
Controlo total e limpeza arriscada
De forma a garantir que a sua presença sobrevivia a mudanças de palavras-passe ou quebras de sessão, os atacantes implementaram táticas de persistência profundas. Substituíram os módulos de autenticação PAM do sistema operativo Linux por versões manipuladas que aceitavam códigos de acesso fixos. Em paralelo, trocaram componentes vitais do OpenSSH para capturar dados de entrada e registar todos os comandos inseridos pelos verdadeiros administradores, obtendo visibilidade total sobre a rede.
A remoção desta ameaça revelou-se um processo de engenharia altamente delicado. Como o grupo substituiu inúmeros componentes críticos por versões próprias, a simples tentativa de apagar os ficheiros maliciosos corria o risco de quebrar o processo de autenticação por completo. Uma intervenção desmedida poderia deixar os administradores legítimos bloqueados do lado de fora, causando as exatas interrupções operacionais que as equipas de segurança tentavam evitar.
Nenhum comentário
Seja o primeiro!