עשור מתחת לרדאר: קבוצת תקיפה סינית חדרה לרשת תשתית קריטית ופעלה בה ללא גילוי
חברת הסייבר הישראלית סיגניה חושפת את “מבצע היילנד”, שבמהלכו הצליחה קבוצת התקיפה Velvet Ant להשתלט על מנגנוני האימות של רשת מבודדת, לגנוב סיסמאות ולעקוב אחר מנהלי מערכת במשך כמעט עשר שנים מבלי להתגלות
Photo by Glenn Carstens-Peters on Unsplash
חברת הסייבר הישראלית סיגניה (Sygnia) חושפת פרטי חקירה פורנזית יוצאת דופן, שלפיה קבוצת התקיפה הסינית Velvet Ant הצליחה לפעול בחשאי בתוך רשת של תשתית קריטית במשך קרוב לעשור. לפי ממצאי החקירה, שכונתה “Operation Highland”, התוקפים חדרו כבר בשנת 2016 לרשת מבודדת שאינה מחוברת ישירות לאינטרנט, השתלטו על מנגנוני האימות המרכזיים שלה והשביתו מערכות רישום אירועים כדי להסתיר את פעילותם.
החוקרים מציינים כי אחד המאפיינים הבולטים של המבצע היה עקיפת מנגנון הבידוד של הרשת. במקום לתקוף ישירות את הסביבה המוגנת, בנו התוקפים שרשרת חדירה רב שלבית. תחילה השיגו גישה למערכות המחוברות לאינטרנט, משם התקדמו לרוחב רשת המחשוב הארגונית, ולבסוף יצרו נתיב גישה ישיר אל רשת התשתית הקריטית המבודדת.
חן טיטקין, מנהל צוות תגובה לאירועי סייבר בסיגניה, מסביר כי “Operation Highland” ממחיש שינוי בגישתן של קבוצות תקיפה מדינתיות. לדבריו, תוקפים מסוג זה אינם מסתפקים עוד בניצול חולשות אבטחה נקודתיות, אלא חותרים להשתלט על מנגנוני הניהול והבקרה של המערכות הרגישות ביותר בארגון. טיטקין מוסיף כי עצם העובדה שהקבוצה הצליחה לשמור על נוכחות חשאית במשך עשר שנים מערערת את ההנחה שבידוד פיזי מהאינטרנט מספק הגנה מלאה.
ממצאי החקירה מעלים כי התוקפים החליפו רכיבי מערכת קריטיים, בהם מודולי PAM וקבצי OpenSSH, בגרסאות זדוניות שפיתחו בעצמם. באמצעות רכיבים אלו הצליחו לעקוף את מנגנוני האימות הרגילים, לקבל שליטה מלאה בגישה למערכות ולאסוף מידע רגיש. הגרסאות הזדוניות תיעדו סיסמאות והקליטו כל פקודה שהוזנה על ידי מנהלי מערכת במהלך חיבורי SSH, מה שאפשר לתוקפים לעקוב אחר כלל הפעילות הניהולית ברשת.
החוקרים זיהו גם רמת תחכום גבוהה במיוחד בתחום ההסוואה. הקוד הזדוני כלל פקודה ייעודית שאפשרה לתוקפים להשבית בזמן אמת את מנגנוני התיעוד שהתקינו בעצמם, וכך לצמצם את עקבותיהם כאשר חששו מחשיפה. בנוסף אותרו תשע גרסאות שונות של אחד הרכיבים הזדוניים המרכזיים, שכל אחת מהן קודדה בסביבת פיתוח נפרדת. בסיגניה רואים בכך עדות להשקעת משאבים משמעותית ולמעורבות של גורם תקיפה בעל יכולות גבוהות במיוחד.
לפי הערכת החברה, דפוס הפעולה של Velvet Ant תואם למקרים קודמים שיוחסו לקבוצה. כאשר אחיזתה במערכת נמצאת בסיכון, היא נוטה להעמיק את החדירה ולעבור לתשתיות פחות מנוטרות כדי לשמר את הנוכחות שלה. במקרה זה הגיעו התוקפים לשלב שבו לא נדרשו עוד לנצל חולשות ספציפיות, אלא שלטו ישירות במנגנונים האחראים על אימות והרשאת הגישה לכלל המערכות בארגון.
בסיגניה מדגישים כי תהליך השיקום של הסביבה שנפגעה היה מורכב ומסוכן במיוחד. מאחר שהתוקפים שינו רכיבים קריטיים לניהול מרחוק ולניהול המערכות, כל החלפה שגויה של אותם רכיבים הייתה עלולה לנעול את מנהלי המערכת החוקיים מחוץ לשרתים ולגרום להשבתה משמעותית של הפעילות. החברה מסכמת כי האירוע ממחיש את מגבלותיהן של מערכות הגנה המבוססות על התראות בלבד, וקוראת לארגונים לאמץ גישות פרואקטיביות של ציד איומים גם בסביבות המאובטחות והמבודדות ביותר.