LONDON (IT BOLTWISE) – Angreifer aus dem Umfeld „Velvet Ant“ haben laut Untersuchern die Authentifizierungskette einer Zielorganisation über Jahre kompromittiert und dabei auch administrative Aktivitäten vollständig mitprotokolliert. Der Kern der Methode: Von außen starten die Angreifer eine Remote-Execution- bzw. Ausführungskette über Web-Komponenten, ohne später eine direkte Netzwerkverbindung in das luftgesicherte Kernnetz zu benötigen. Anschließend verankern sie sich so tief, dass Passwortwechsel und abgebrochene Sitzungen ihr Zugriffsmuster nicht mehr stoppen. Für Unternehmen bedeutet das: Auth- und Identitätskomponenten müssen als kritische Sicherheitsressourcen behandelt, überwacht und in einen Offline-Wiederherstellungsplan eingebettet werden.
Die aktuelle Fallstudie zu „Operation Highland“ zeigt, wie weit fortgeschrittene Cyber-espionage heute in die digitale Vertrauensbasis von Organisationen eindringen können. Statt sich ausschließlich auf einen einzelnen Einstiegspunkt zu verlassen, greifen die Angreifer den Authentifizierungs- und Administrationsprozess selbst an und erreichen dadurch eine außergewöhnliche Sicht auf „wer macht was“ im Zielsystem. Nach Analysen von Sygnia dauerte die Kompromittierung über etwa zehn Jahre. Besonders alarmierend ist der Umstand, dass der Betrieb schließlich in einem Netzwerk ohne direkten externen Pfad stattfand – und der Zugriff trotzdem durch ein ausgefeiltes Zusammenspiel von Proxys, Remote-Ausführungsbrücken und manipulierten Auth-Komponenten organisiert wurde.
Technisch beginnt die Angriffslogik typischerweise mit der Kompromittierung internetzugänglicher Server, auch wenn die Untersucher keine konkreten Produkte oder Schwachstellen im Detail benennen. Entscheidender für die Langzeitwirkung ist, wie die Akteure Persistenz aufbauen und anschließend laterale Bewegung in Richtung eines isolierten Bereichs ermöglichen. Berichten zufolge installierten sie eine modifizierte Reverse-Shell, die sich als legitime Systemkomponente tarnt und verschlüsselte Remote-Zugriffe über einen fest verdrahteten Relay-Kanal ermöglicht. Die Persistenz entsteht entweder über bösartige systemd-Services oder durch Veränderungen an Startup-Skripten – damit bleibt die Steuerung auch nach Reboots erhalten und lässt sich schwer mit „klassischen“ Containment-Maßnahmen stoppen.
Im nächsten Schritt wird die Fähigkeit zur Kommunikation in interne Zonen geschaffen. Dazu implementiert „Velvet Ant“ ein eigenes SOCKS5-Proxying, das den Datenverkehr über die kompromittierten Hosts tunnelt und so Zielsysteme erreichbar macht, die von außen eigentlich isoliert sein sollten. Auffällig ist dabei, dass das Proxying als Daemon in scheinbar unauffälligen Diensten läuft, inklusive Tarnung durch Namen und jeweils angepasster Dateinamen sowie Ports pro Host. Solche Mechanismen verwandeln kompromittierte Systeme in Sprungbretter (Pivot Points), ohne dass die Angreifer dauerhaft direkte Netzwerkpfade benötigen. Gerade diese Entkopplung vom ursprünglichen Internetzugang macht die Untersuchung für Security-Teams so relevant.
Der technisch anspruchsvollste Teil liegt in der Konstruktion einer Remote-Ausführungskette in das segregierte Kernnetz über „einfache“ HTTP-Anfragen. Laut Sygnia wird dazu ein kompromittierter Nginx-Server so umkonfiguriert, dass er speziell präparierte Requests an einen kompromittierten Backend-Server weiterleitet. Auch die Backend-Seite wird angepasst: Dort erfolgt ein Forwarding in einen FastCGI-Prozess (fcgiwrap), der seinerseits als Ausführungsbrücke dient. In dem Bericht steht, dass dabei ein benutzerdefiniertes Binary mit einem Namen wie „uptime“ zum Einsatz kommt, das die eigentliche Zielhandlung auslöst. Die so geschaffene Ausführungslogik etabliert anschließend SSH-Verbindungen zu Systemen im isolierten Netz, wobei die Parameter über HTTP POST Requests mitgeliefert werden.
Mit dem Zugang ins isolierte Umfeld verschiebt sich der Schwerpunkt von bloßer Erreichbarkeit hin zu dauerhafter Steuerung und Identitätsdiebstahl. Dafür kompromittieren die Angreifer Linux Pluggable Authentication Modules (PAM) und ersetzen legitime Module wie „pam_unix.so“ durch manipulierte Versionen. Diese Backdoor-Module sollen hartkodierte Passwörter akzeptieren und dabei Credentials aus der Authentifizierungsvorlage ableiten. Sygnia identifizierte dabei mehrere Varianten, die in getrennten Build-Umgebungen erstellt wurden – ein starkes Indiz für Ressourcen und Systematik. Ergänzend werden OpenSSH-Komponenten wie „ssh“, „sshd“ und „scp“ trojanisiert, sodass nicht nur Logindaten, sondern auch die während SSH-Sitzungen eingegebenen Kommandos abgegriffen und lokal gespeichert werden.
Aus Security-Sicht ist das Vorgehen besonders wirkungsvoll, weil es den Auth-Flow selbst als Kontrollschicht missbraucht. Die Manipulation von PAM und OpenSSH führt dazu, dass administrative Aktivitäten „vollständig beobachtbar“ werden: Jeder Login und jede ausgeführte Kommandosequenz über kompromittierte Hosts kann in der Folge nutzbar gemacht werden. Damit hängt der Angriff nicht mehr an einem einzelnen kompromittierten Konto oder einer temporären Schwachstelle, sondern „sitzt“ im Prozess, der eigentlich Sicherheit herstellen soll. Das reduziert die Effektivität konventioneller Gegenmaßnahmen, etwa dem Zurücksetzen von Passwörtern oder dem Beenden einzelner Sessions. Ergänzend kommt hinzu, dass die Angreifer in früheren Phasen bereits bekannte Angriffsflächen und Zero-Day-ähnliche Ereignisse aus der Infrastrukturwelt ausnutzen konnten, etwa Meldungen zu F5 BIG-IP-Konfigurationen oder Cisco NX-OS auf Nexus-Switches, die laut Berichten ebenfalls in das Profil von „Velvet Ant“ passen.
Die Aufwände für die Bereinigung sind in solchen Szenarien oft größer als die eigentliche Detektion. Sygnia beschreibt „komplex cleanup“: Selbst nach dem Auffliegen der Kompromittierung ist die Entfernung der Manipulation schwierig, weil die Angreifer viele sicherheitskritische Komponenten durch eigene Builds ersetzt haben. Ein unkontrolliertes Zurücktauschen kann Authentifizierung und Adminzugänge brechen, Administratoren aussperren und im schlimmsten Fall operative Ausfälle auslösen. Deshalb wurde offenbar ein Labor aufgebaut, in dem der Austausch binärer Komponenten validiert, Hosts profiliert und Ergebnisse getestet werden. Erst danach folgen Rollback- und Wiederherstellungsmaßnahmen, die das Risiko von Auth-Lockouts minimieren sollen.
Für Unternehmen ergibt sich daraus eine klare, strategische Konsequenz: Auth- und Identitätsbausteine wie PAM, OpenSSH und auch – je nach Umgebung – Windows LSASS müssen als „kritische Sicherheitsassets“ behandelt werden. Praktisch bedeutet das, sie durch EDR, File-Integrity-Monitoring, gehärteten privilegierten Zugriff, Multi-Faktor-Authentifizierung und kontinuierliche Überwachung gegen nicht autorisierte Modifikationen abzusichern. Gleichzeitig sollten Security- und Betriebsorganisationen konsequent Offline-Recovery planen: streng kontrollierte Backups mit ausreichend häufiger Snapshot-Erstellung, sowie getestete Wiederherstellungsabläufe auf verifizierten Recovery-Hosts. Wer diese Disziplin schon vor einem Incident etabliert, kann in Langzeitkampagnen den größten Vorteil der Angreifer – die Einbettung in den Auth-Flow – deutlich schneller entkoppeln.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Operation Highland: Langzeit-Übernahme des Auth-Stacks in luftgesicherten Netzen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Operation Highland: Langzeit-Übernahme des Auth-Stacks in luftgesicherten Netzen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Operation Highland: Langzeit-Übernahme des Auth-Stacks in luftgesicherten Netzen« bei Google Deutschland suchen, bei Bing oder Google News!