Publicado en

Velvet Ant: Cómo un grupo vinculado a China ocultó una puerta trasera en Linux durante casi una década

•Publicado enAmenazas y Malware

Velvet Ant: Cómo un grupo vinculado a China ocultó una puerta trasera en Linux durante casi una década

En el mundo de la ciberseguridad, la persistencia es el objetivo máximo de cualquier grupo de amenazas avanzadas (APT). Recientemente, se ha revelado que un grupo de ciberespionaje vinculado a China, identificado como Velvet Ant, logró mantener acceso no autorizado en redes corporativas durante casi diez años, ocultándose en un lugar donde pocos suelen buscar: el propio sistema de inicio de sesión de Linux.

Una infiltración silenciosa desde 2016

Según investigaciones recientes de la firma de seguridad Sygnia, Velvet Ant no utilizó el método tradicional de instalar malware detectable por antivirus comunes. En su lugar, modificaron componentes críticos y de confianza del sistema operativo Linux, específicamente los módulos PAM (Pluggable Authentication Modules) y OpenSSH.

Estos componentes son los encargados de decidir quién puede entrar al sistema y quién no. Al comprometer estas herramientas desde la raíz, los atacantes pudieron:

  • Acceder a servidores utilizando contraseñas secretas preconfiguradas por ellos.
  • Registrar silenciosamente los nombres de usuario y contraseñas reales de los empleados legítimos.
  • Capturar cada comando escrito por los administradores en la terminal.

El desafío de las redes aisladas

Lo más preocupante de esta operación, denominada Operation Highland, es que el grupo logró alcanzar redes que no tenían acceso directo a Internet. Para ello, utilizaron servidores web expuestos como puentes, pasando comandos a través de ellos para abrir sesiones remotas en lo más profundo de la infraestructura segmentada de sus víctimas.

¿Por qué fallaron las defensas tradicionales?

Cuando un atacante compromete el sistema de autenticación, las medidas de contención habituales pierden eficacia. Si el software encargado de verificar las credenciales está trabajando para el atacante, un cambio de contraseña o el cierre de sesiones activas no detiene la intrusión; simplemente le proporciona al atacante las nuevas claves en bandeja de plata.

Este grupo ya tiene un historial de tácticas similares. En 2024, se reportó que Velvet Ant había convertido dispositivos F5 BIG-IP y switches Cisco Nexus en servidores de comando internos, aprovechando que este tipo de infraestructura suele recibir menos auditorías de integridad que los terminales de usuario o los servidores de aplicaciones.

Recomendaciones estratégicas para el entorno empresarial

Desde la perspectiva de la gestión de riesgos en ciberseguridad, este incidente subraya que no basta con aplicar parches de seguridad. Cuando el software de confianza ha sido modificado, la solución es la verificación de integridad.

Para proteger su organización, considere las siguientes medidas:

  • Monitoreo de archivos críticos: Implementar soluciones que alerten sobre cualquier cambio en los binarios de PAM y OpenSSH.
  • Auditorías de integridad: No espere a una alerta de malware. Compare periódicamente los programas del sistema con copias originales y verificadas (hashes conocidos).
  • Limpieza profunda antes del restablecimiento: Si se sospecha de una intrusión, es vital eliminar la puerta trasera antes de forzar cambios de contraseña, de lo contrario, las nuevas credenciales serán comprometidas inmediatamente.
  • Seguridad de la infraestructura: Asegúrese de que sus balanceadores de carga, switches y otros dispositivos de red estén incluidos en el ciclo de monitoreo y auditoría.

En Intedya, enfatizamos que la ciberseguridad no es solo una cuestión de tecnología, sino de procesos robustos y vigilancia continua. La longevidad de Velvet Ant nos recuerda que el enemigo más peligroso es aquel que se vuelve parte de nuestra propia infraestructura.

Fuentes