【零存在感】中國黑客Velvet Ant利用過時F5設備 潛伏三年無人察覺
![Topic report3](https://www.wepro180.com/wp-content/uploads/2024/06/WEB_2406217_JOE-1600-x-900-px.png)
一個被稱為 Velvet Ant 的中國網絡集團,被發現利用 F5 BIG-IP 設備的安全弱點,不單只成功入侵多間企業及組織,而且更潛伏在其中一個機構內部網絡接近三年時間!
專家指這個集團非常成熟及狡猾,使用了多種迴避偵測手段,以及難以剷除的立足點。有如此高的入侵技術,又長時間潛伏在網絡深處刺探機密情報,屬國家支援黑客集團的機率極高。
根據網絡安全公司 Sygnia 發表的調查報告,這個被他們稱為 Velvet 擁有非常高的入侵技巧及會與時並進,毫不猶疑地使用新的入侵技術,攻擊手法靈活有效率。而且黑客對硬件及網絡系統結構有深刻的理解,因而能夠策略性地破壞關鍵系統,並非法獲得對敏感資料的訪問權限。而在這次分享的受害個案中,其中一個便遭對方潛入網絡近三年時間卻懵然不覺。
專家解釋,他們首先在客戶的電腦設備上發現惡意軟件 PlugX,因而與客戶合作,嘗試了解對方的策略、技術、流程(TTP)。調查期間,專家發現對方使用了很多近年流行的感染方法,當中包括 DLL 尋序搜尋挾持、DLL 側載,以及幻影 DLL 載入等,但在部署惡意軟件之前,黑客首先會嘗試修改目標裝置上的安全工具設定,令感染過程不會產生警報,如無法達成目標,黑客便會放棄在該設備上部署惡意軟件,轉而橫向搜尋合適的設備。
期間,專家便發現黑客曾鎖定攻擊一部已終止支援的 Windows Server 2003 檔案伺服器下手,相信是看中這些伺服器並未部署 EDR 解決方案;黑客又會利用開源工具 Impacket 執行編碼,並建立防火牆規則以允許連接到命令控制中心(C&C),顯示出黑客具有良好的運作安全(OPSEC) 意識,盡量令行動保持隱密。
專業入侵技術疑屬國家支援黑客集團
此外,專家發現黑客還利用了受害機構曝露於互聯網上的兩部過時 F5 BIG-IP 設備,它們的作用是充當防火牆、WAF、管理本地流量服務,不過由於存在已知漏洞,因此成為黑客的感染目標。在其中一部受感染的F5 裝置上,黑客部署了多種惡意工具,包括用於接收控制中心指令的 VelvetSting、捕捉網絡封包的 VelvetTap,另外還有控制傳輸閘道的 EarthWorm 及 Esrde。
考慮到受攻擊的目標組織身份,以及所使用的側載技術,專家認為並不屬於一般以利益或破壞為目標的黑客所為,而是屬於以收集機密情報為主要目的的國家級黑客組織。而這次入侵亦非無可避免,特別是一些過了廠方支援期限或仍在使用舊版本系統的裝置,企業或機構必須及早替換及持續更新系統,確保不會有漏洞出現。
資料來源:https://www.securityweek.com/chinese-hackers-leveraged-legacy-f5-big-ip-appliance-for-persistence/
想 守 住 企 業 網 絡 安 全 防 線 ?