Tin tặc liên kết Trung Quốc cài backdoor vào phần mềm đăng nhập Linux
"China-linked actors (Velvet Ant) compromised Linux login systems, specifically PAM and OpenSSH, over nearly a decade by replacing legitimate files with backdoored versions. This allowed credential theft and command logging without triggering traditional security alerts. Mitigation involves verifying file integrity, monitoring for changes, and removing backdoors before password resets; CVE-2024-20399 related to Cisco NX-OS was also referenced."
Việc xâm nhập vào PAM và OpenSSH cho phép tin tặc đánh cắp thông tin đăng nhập và kiểm soát hệ thống một cách âm thầm.
Các doanh nghiệp có thể bị mất dữ liệu, gián đoạn hoạt động và thiệt hại uy tín do bị xâm phạm hệ thống.
Một nhóm tin tặc liên kết Trung Quốc (Velvet Ant) đã xâm nhập hệ thống đăng nhập Linux, cụ thể là PAM và OpenSSH, trong gần một thập kỷ bằng cách thay thế các file hợp lệ bằng các phiên bản có backdoor. Việc này cho phép đánh cắp thông tin đăng nhập và ghi lại lệnh thực thi mà không gây báo động cho hệ thống bảo mật thông thường.
Doanh nghiệp Việt Nam sử dụng Linux cần đặc biệt quan tâm vì các backdoor này có thể hoạt động âm thầm trong thời gian dài, gây rủi ro mất dữ liệu và kiểm soát hệ thống. Việc phát hiện và loại bỏ chúng đòi hỏi quy trình kiểm tra tính toàn vẹn của file và giám sát thay đổi.
Nhóm này đã thay thế các module PAM chính bằng các bản sao bị backdoor. Một số cho phép truy cập bằng mật khẩu bí mật, số khác ghi lại tên người dùng và mật khẩu khi đăng nhập. Họ đã tạo ra chín phiên bản khác nhau.
Để tiếp cận mạng bị cô lập, tin tặc sử dụng các công cụ ngụy trang và một máy chủ web hướng ra internet làm cầu nối để thực thi lệnh từ xa. Vì hệ thống đăng nhập đã bị xâm phạm, các biện pháp ngăn chặn thông thường như đặt lại mật khẩu không hiệu quả.
Sygnia, công ty theo dõi nhóm này, cũng phát hiện Velvet Ant lợi dụng lỗ hổng CVE-2024-20399 trên thiết bị Cisco NX-OS để cài backdoor. Lỗ hổng này yêu cầu quyền quản trị, nên được sử dụng để duy trì sự hiện diện trên hệ thống.
Để khắc phục, cần giám sát các file PAM và OpenSSH, so sánh chúng với các bản sao tin cậy. Loại bỏ backdoor trước khi đặt lại mật khẩu. Kiểm tra kỹ các bản vá cho CVE-2024-20399 trên thiết bị Cisco Nexus và theo dõi các kết nối bất thường trên F5 BIG-IP.
Câu hỏi thường gặp
PAM và OpenSSH là gì?
PAM (Pluggable Authentication Modules) là một hệ thống quản lý xác thực linh hoạt trên Linux. OpenSSH là bộ công cụ mã nguồn mở để thiết lập kết nối mạng an toàn. Cả hai đều là thành phần quan trọng trong việc đăng nhập và quản lý hệ thống.
Backdoor trong trường hợp này hoạt động như thế nào?
Tin tặc đã thay thế các file PAM và OpenSSH hợp lệ bằng các phiên bản bị sửa đổi. Các phiên bản này cho phép họ đánh cắp thông tin đăng nhập hoặc ghi lại các lệnh được thực thi trên hệ thống.
Làm thế nào để phát hiện backdoor?
Cần so sánh các file PAM và OpenSSH trên hệ thống với các bản sao tin cậy. Bất kỳ thay đổi nào cũng cần được điều tra kỹ lưỡng. Việc giám sát liên tục các file này cũng rất quan trọng.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc này cho thấy các cuộc tấn công không chỉ nhắm vào phần mềm mà còn vào các thành phần cơ bản của hệ thống. Doanh nghiệp Việt Nam nên xem xét việc kiểm tra tính toàn vẹn của các file hệ thống thường xuyên, đặc biệt là các thành phần liên quan đến xác thực. Điều đáng chú ý là, việc phát hiện các backdoor này đòi hỏi các công cụ và quy trình chuyên biệt, không phải lúc nào cũng có sẵn trong các hệ thống bảo mật thông thường.