Sygnia — công ty theo dõi nhóm này với tên Velvet Ant — cho biết chúng đã cài backdoor vào các thành phần PAM và OpenSSH, vốn quyết định ai được phép đăng nhập, gài quyền truy cập ở nơi mà các biện pháp dọn dẹp thông thường không chạm tới được. Mạng bị nhắm tới không có kết nối Internet trực tiếp, nên nhóm này trước tiên phải đi vòng qua các hệ thống có kết nối Internet để tiến vào.
Những dấu vết sớm nhất có từ năm 2016. Thay vì thả mã độc mới mà công cụ quét có thể phát hiện, kẻ tấn công đã chỉnh sửa chính các chương trình đăng nhập đáng tin cậy. Không có gì bất thường lộ ra, cũng chẳng cần khai thác lỗ hổng nào, nên hoạt động này trông như thao tác quản trị bình thường.
Trên nhiều máy, kẻ tấn công thay module đăng nhập PAM chính bằng các bản đã bị cài backdoor. Một số bản cho chúng đăng nhập bằng mật khẩu bí mật; số khác lặng lẽ ghi lại tên đăng nhập và mật khẩu thật khi người dùng đăng nhập.
Các nhà nghiên cứu tìm thấy chín phiên bản khác nhau. Các chương trình OpenSSH cũng bị chỉnh sửa theo cách tương tự: ghi lại thông tin đăng nhập và mọi câu lệnh được gõ, kèm một “công tắc” ẩn để tắt việc ghi log khi cần.
Chỉ riêng việc tiếp cận được mạng bị cô lập đã đòi hỏi nhiều công sức. Kẻ tấn công dùng các công cụ ngụy trang khác và một máy chủ web có kết nối Internet làm cầu nối, chuyển câu lệnh qua đó để mở các phiên điều khiển từ xa sâu bên trong phân đoạn mạng không có kết nối Internet trực tiếp.
Vì chính hệ thống đăng nhập đã bị xâm phạm, các biện pháp cô lập thông thường gần như vô dụng. Đặt lại mật khẩu hay ngắt phiên chẳng ích gì khi thứ đảm nhiệm việc kiểm tra các thông tin đăng nhập đó lại đang làm việc cho kẻ tấn công.
Đây không phải điều mới với nhóm này. Mỗi lần đội phòng thủ phát hiện một chỗ đứng chân, Velvet Ant lại chuyển sang thiết bị ít bị giám sát hơn và dựng cứ điểm ở đó. Trong một vụ năm 2024, Sygnia phát hiện chính nhóm này biến các thiết bị F5 BIG-IP lộ ra Internet thành máy chủ điều khiển nội bộ.
Cuối năm đó, Sygnia báo cáo nhóm này khai thác một lỗ hổng Cisco NX-OS, CVE-2024-20399, để cài backdoor lên các switch. Lỗ hổng này cần có quyền admin trước, nên nó là công cụ duy trì hiện diện chứ không phải cách đột nhập từ xa. Cisco đã vá vào tháng 7/2024, và CISA đánh dấu nó là đã bị khai thác ngay ngày hôm sau.
Operation Highland cũng là ý tưởng đó, nhưng sâu thêm một tầng. Bộ cân bằng tải, switch, và bản thân phần mềm đăng nhập vốn được mặc định tin tưởng và hiếm khi bị kiểm tra — đó chính là lý do một kẻ tấn công kiên nhẫn chọn ẩn mình bên trong chúng.
Operation Highland không phải là vấn đề của một CVE đơn lẻ. Kẻ tấn công chỉnh sửa các chương trình đáng tin cậy sau khi đã xâm nhập, nên cách khắc phục là kiểm chứng (verification) chứ không phải vá lỗi, và việc dọn dẹp rất tinh tế: thay nhầm một thành phần có thể khiến quản trị viên bị khóa khỏi một hệ thống đang chạy.
Giám sát các tệp đăng nhập. Theo dõi các chương trình PAM và OpenSSH cùng những tệp quan trọng của chúng để phát hiện mọi thay đổi, và cảnh báo khi có thay đổi.
Chủ động săn tìm bằng cách kiểm tra những gì đã thay đổi, đừng chờ cảnh báo. Hãy so sánh các chương trình này với bản gốc đã biết là sạch, vì sẽ không có gì tự động báo động cho bạn.
Gỡ backdoor trước khi đặt lại mật khẩu, nếu không mật khẩu mới cũng sẽ bị đánh cắp y như cũ. Hãy thử nghiệm mọi bản thay thế trong môi trường lab trước.
Các vụ F5 và Cisco trước đó có những biện pháp kiểm tra riêng: vá CVE-2024-20399 trên thiết bị Cisco Nexus, và theo dõi các thiết bị F5 xem có kết nối ra ngoài bất thường không.
Bài học rộng hơn rất rõ ràng: hạ tầng nằm ngoài phạm vi giám sát thông thường vẫn cần được kiểm tra tính toàn vẹn — và giờ đây điều đó bao gồm cả tầng đăng nhập.
Nguồn: The Hacker News
]]>Một báo cáo từ cộng đồng tình báo nguồn mở Independent Federated Intelligence Network (IFIN) cho biết một maintainer mới đang giả mạo một nhà phát hành đáng tin cậy trên nền tảng AUR để đẩy lên các gói đã bị nhiễm mã độc.
Bản phân phối Arch Linux được nhiều người dùng chuyên sâu và lập trình viên ưa chuộng, họ dùng danh mục AUR để có được phiên bản mới nhất của phần mềm đã cài, driver và kernel.
AUR là kho do cộng đồng duy trì cho bản phân phối Arch, chứa các script build gói (PKGBUILD) kèm hướng dẫn tải về, biên dịch và cài đặt những phần mềm không có sẵn trong các kho chính thức của Arch.
AUR được xem là thiết yếu với mọi bản phân phối dựa trên Arch vì nó chứa các ứng dụng độc quyền, bản beta/nightly của phần mềm nguồn mở, tiện ích chuyên biệt, và cả những phiên bản cũ của các gói vẫn giữ được tính năng mà có thể đã bị loại bỏ ở các bản phát hành sau này.
Tuy nhiên, đây không phải là không gian đã được kiểm duyệt, và kẻ tấn công có thể lợi dụng nó để phát tán mã độc thông qua các gói bị đổi quyền sở hữu mà không ai để ý.
Theo Michael Taggart, thành viên của IFIN, các gói bị xâm phạm đã bị chỉnh sửa bằng các script preinstall để tải về và thực thi một gói npm độc hại có tên atomic-lockfile.
Nhà nghiên cứu bảo mật độc lập Whanos lưu ý rằng một mẫu của atomic-lockfile có kèm một payload ELF trên Linux tên là deps, vốn là một “công cụ đánh cắp thông tin đăng nhập với khả năng rootkit eBPF [extended Berkeley Packet Filter] tùy chọn, chỉ chạy ở quyền root.”
“Nó được thiết kế cho máy trạm của lập trình viên và các môi trường build. Mục tiêu là dữ liệu của trình duyệt và ứng dụng Electron, Slack, Microsoft Teams, Discord, GitHub, npm, Vault, Docker/Podman, SSH, thông tin VPN, lịch sử shell, và các bí mật khác của lập trình viên trên máy,” Whanos cho biết trong báo cáo.
Nhờ có công nghệ eBPF, mã độc có thể chạy bên trong kernel với đặc quyền cao và ẩn các tiến trình cục bộ.
Công ty quản lý chuỗi cung ứng Sonatype cũng công bố một báo cáo về một chiến dịch nhắm vào kho AUR và phát tán gói npm độc hại atomic-lockfile, nhưng bằng một phương pháp khác.
Các nhà nghiên cứu của Sonatype cho biết kẻ tấn công đã chiếm ít nhất 20 gói “vô chủ” (orphaned) trên AUR và đẩy atomic-lockfile lên bằng cách chỉnh sửa tệp PKGBUILD — một script Bash chứa thông tin build cần thiết cho các gói Arch Linux.
Theo báo cáo, kẻ tấn công đã thêm một script post-install để gọi npm và tải về gói độc hại.
“Các gói đã chỉnh sửa thêm một script post-install gọi npm và cài atomic-lockfile trong quá trình cài gói,” Sonatype cho biết.
Tuy nhiên, phân tích cho thấy gói npm này cài một tệp thực thi Linux có tham chiếu tới một rootkit eBPF có khả năng ẩn tiến trình, tệp và giao diện mạng.
Ngoài ra, tệp nhị phân Linux này cho thấy nó có chức năng infostealer, nhắm vào các loại thông tin nhạy cảm sau:
Sonatype xác định tệp nhị phân này có thể nén dữ liệu, xử lý tệp nhiều phần và thực hiện tải lên qua HTTP, tức là đã hội đủ chức năng của một cơ chế đánh cắp (exfiltration) dữ liệu điển hình.
Các maintainer của AUR đang nỗ lực xác định và gỡ bỏ toàn bộ commit độc hại, đồng thời cấm các tài khoản đã đẩy chúng lên.
Trong một thông điệp gửi cộng đồng, Jonathan Grotelüschen — maintainer gói của Arch Linux — kêu gọi người dùng báo cáo bất kỳ gói độc hại nào họ phát hiện.
Theo nguyên tắc chung, chỉ nên tin tưởng những dự án được cập nhật thường xuyên và có cộng đồng hoạt động tích cực xung quanh.
Người dùng Arch được khuyến cáo xem lại danh sách các gói bị ảnh hưởng và tìm các dấu hiệu bị xâm phạm (IoC) được cung cấp trong báo cáo từ Whanos.
Michael Taggart cũng chỉ ra một script kiểm tra mã độc atomic-lockfile trên hệ thống.
Nếu phát hiện các gói bị xâm phạm, người dùng nên xoay (rotate) toàn bộ thông tin đăng nhập và cân nhắc cài lại Arch từ đầu, vì rootkit có thể sống sót qua các nỗ lực dọn dẹp thông thường.
Nguồn: BleepingComputer
]]>